آنچه در حال حاضر در حال شکست است

حوادث امنیتی که در حال حاضر مهم هستند و اینکه آیا هنوز راه حلی وجود دارد یا خیر.

Arista یک نقص حیاتی تزریق SQL (CVE-2026-114625، CVSS 9.9) را در VeloCloud Orchestrator اولیه وصله کرد که به هر کاربر احراز هویت شده اجازه می دهد امتیازات اپراتور را به دست آورد و به عنوان "اپراتور ابرکاربر" محلی ظاهر شود. VCO میزبان قبلا وصله شده است. ادمین های on-prem نیاز به ارتقا دارند.

Arista VeloCloud Orchestrator (VCO) On-Prem · از 22 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 23:29 UTC

Axios گزارش می دهد که بانک های بزرگ ایالات متحده، از جمله مورگان استنلی، بانک آمریکا، جی پی مورگان و ولز فارگو، در حال شناسایی عوامل هوش مصنوعی شخص ثالث هستند که در حساب های مشتریان فعالیت می کنند. در بیشتر موارد، نماینده با مجوز و اعتبار مشتری وارد سیستم می‌شود، که قوانین بانکی را که افراد را ملزم به ورود به سیستم می‌کند، زیر پا می‌گذارد. برخی از بانک‌ها همچنین مشاهده کردند که نمایندگان با مراکز تماس تماس می‌گرفتند یا اقداماتی انجام می‌دادند که مستقل از دستورالعمل‌های کاربر ظاهر می‌شد، و مدیران می‌گویند که اغلب نمی‌توانند انسان را از یک نماینده یا یک نماینده مجاز را از یک سرکش تشخیص دهند.

هیچ تصاحب حساب، ضرر ناشی از کلاهبرداری یا محصولات خاص عامل هوش مصنوعی گزارش نشده است. مورگان استنلی عوامل شخص ثالث را مسدود می کند و جی پی مورگان، بانک آمریکا و سیتی آنها را محدود می کنند. نام کاربری و رمز عبور بانک خود را به یک عامل هوش مصنوعی ندهید.

حساب های بانکی آنلاین در بانک های بزرگ ایالات متحده (Morgan Stanley، Bank of America، JPMorgan Chase، Wells Fargo، Citi) · از 22 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 23:29 UTC

GitLab در 21 اکتبر 2026 یک وصله مهم برای CVE-2026-110264 منتشر کرد: یک سرریز عدد صحیح در کامپایلر همراه Onigmo/regex که می‌تواند به یک مهاجم احراز هویت نشده اجازه دهد تا کد را روی GitLab خود مدیریت کند. CVSS 10.0; هر نسخه CE/EE از 7.0 (2014) در محدوده است. مواردی که فقط اصلاحیه regex 12 اکتبر را اعمال کرده‌اند آسیب‌پذیر هستند و باید دوباره به‌روزرسانی شوند.

GitLab CE/EE (خود مدیریتی) · از 21 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 22:41 UTC

یک نقص در جریان بازنشانی اعتبارنامه Keycloak (سرویس‌های keycloak) به مهاجمی که احراز هویت نشده اجازه می‌دهد بدون کلیک کردن روی پیوند تأیید ایمیل ارسال شده، رمز عبور را برای هر کاربری بازنشانی کند، سپس اعتبارنامه‌های جدیدی را تنظیم کرده و حساب را در اختیار بگیرد. Red Hat به آن CVSS 9.1 می دهد. رفع مشکلات ارسال شده در ماه اوت (26.4.15، 26.6.6، 26.7.2)؛ در 21 اکتبر یک اثبات کامل مفهوم با حالت‌های بررسی و تصاحب در Exploit-DB منتشر شد، بنابراین نمونه‌های Keycloak اصلاح نشده باید اکنون ارتقا داده شوند.

Keycloak / Red Hat Build of Keycloak (keycloak-services) · از 21 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 22:40 UTC

در 21 اکتبر، Trend Micro's Zero Day Initiative چندین گزارش آسیب‌پذیری هسته لینوکس وصله‌نشده را به security@kernel.org ارسال کرد، اما فهرست‌های عمومی هسته لینوکس و زیرسیستم‌ها را Cc'd کرد، بنابراین جزئیات فنی کامل (مسیرهای کد، ردیابی‌های KASAN) اکنون قبل از ارسال اصلاحات عمومی هستند. بدترین آنها دو باگ اجرای کد از راه دور ksmbd (سرور SMB درون هسته) است که ZDI به CVSS 9.0 امتیاز می دهد: یک زیر جریان عدد صحیح مستقیم SMB (نیاز به یک دستگاه RDMA و یک اشتراک قابل نوشتن دارد) و یک مسابقه ارسال پروتکل (نیاز به اشتراک مهمان دارد).

همچنین فاش شده است: افزایش امتیاز محلی skb_zerocopy (CVSS 7.8)، نوشتن LPE خارج از محدوده vmwgfx و نشت اطلاعات nvmet. هنوز CVE وجود ندارد و خط اصلی ثابت یا انتشار پایدار وجود ندارد. اصلاح مسابقه ksmbd در درخت نگهدارنده ksmbd و یک اصلاح مستقیم SMB در شاخه ای با هدف لینوکس 7.5 قرار دارد. هیچ بهره برداری گزارش نشده است. فقط ماشین هایی که ksmbd را اجرا می کنند در معرض RCE هستند.

هسته لینوکس: ksmbd (سرور SMB درون هسته) و SMB Direct، شبکه skbuff/NFQUEUE، vmwgfx، nvmet · از 21 اکتبر 2026 · به روز شده در 22 اکتبر 2026، 23:29 UTC

در 21 اکتبر 2026، مهاجمان خط لوله انتشار LiteLLM را به خطر انداختند و litellm==1.107.0 مخرب را در PyPI (تقریبا 2 ساعت زنده) به همراه تگ های Docker Hub/GHCR (نسخه 1.107.0، آخرین، اصلی، آخرین، اصلی-پایدار) منتشر کردند. چرخ‌ها cook.pth / cook.py / sitecustomize.py را نصب می‌کنند که اعتبار ابر، توسعه‌دهنده و ابزار هوش مصنوعی را در هر راه‌اندازی پایتون می‌دزدد و یک بارکننده کد از راه دور را باز می‌کند. دومین سازش LiteLLM در سال 2026.

LiteLLM (PyPI + تصاویر رسمی Docker/GHCR) · از 21 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 21:32 UTC

در 21 اکتبر 2026 Node.js به روز رسانی های امنیتی را برای 22.x، 24.x و 26.x ارسال کرد که ده آسیب پذیری را برطرف کرد. موضوع عنوان CVE-2026-111497 است، یک رمزگشای Brotli نوشتن خارج از محدوده (بالا به ازای Node.js، CVSS 9.2 حیاتی برای Google CNA در NVD، ریشه در Google Brotli 1.0.3 تا 1.2.0) که می تواند عملیات رمزگشایی از راه دور را فعال کند. همین نسخه همچنین دور زدن نام میزبان/IP TLS و برش NUL DNS را اصلاح می‌کند و ذخیره‌سازی CA همراه را برای حادثه eMudhra تازه می‌کند.

Node.js · از 21 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 21:39 UTC

ISC یک باگ تخریب حافظه قابل بهره برداری از راه دور را در BIND 9 به نام در 21 اکتبر فاش کرد. مهاجمی که یک پیام UDP امضا شده با GSS-TSIG (امضای Kerberos که برای به روز رسانی های DNS پویا به سبک Active Directory استفاده می شود) را ضبط می کند، می تواند آن را تا زمانی که کلید مذاکره شده هنوز معتبر است پخش کند و ممکن است کدها را با کنترل مجدد ترکیب کند. اعدام، یا حداقل نام خرابی. CVSS 8.1 (بالا). هیچ راه حلی وجود ندارد. BIND 9.11.0 تا 9.18.50، 9.20.0 تا 9.20.29 و 9.21.0 تا 9.21.26 را تحت تأثیر قرار می دهد. ثابت در 9.20.30 و 9.21.27; ISC لیستی از 9.18 ندارد. ISC از هیچ بهره برداری فعالی اطلاع ندارد.

Debian trixie یک بسته ثابت دارد. کتاب کرم دبیان و اوبونتو هنوز منتظرند.

ISC BIND 9 (با نام) سرور DNS · از 21 اکتبر 2026 · به روز شده در 22 اکتبر 2026، 23:29 UTC

در 21 اکتبر 2026 راه آهن فعالیت غیرعادی در سیستم های ذخیره متغیرهای محیطی مشتری را گزارش کرد. یک شخص ثالث غیرمجاز ممکن است به env vars رمزگذاری شده دسترسی داشته باشد و برای برخی، محتویات رمزگشایی شده (کلیدهای API، اعتبارنامه DB/رجیستری) را به دست آورده باشد. Railway می گوید که معتقد است این بخشی از یک سری حملات به شرکت های پلتفرم با هدف به خطر انداختن ارائه دهندگان استنباط هوش مصنوعی است و از ارائه دهندگان بالادستی خواسته است که کلیدها را باطل کنند. ساخت‌ها به مدت یک روز در سراسر سکو متوقف شدند. در 22 اکتبر آنها برای Enterprise و Pro بازیابی شدند و سرگرمی/رایگان/آزمایشی هنوز در حال تعلیق بود.

به همه کاربران گفته می شود که اسرار را بچرخانند در حالی که محدوده ادامه دارد.

راه آهن (سکوی میزبان) · از 21 اکتبر 2026 · به روز شده در 22 اکتبر 2026، 23:29 UTC

EG Secure Solutions SiteGuard Server Edition حاوی یک آسیب‌پذیری تزریق فرمان سیستم عامل است که ممکن است به مهاجم اجازه دهد دستورات سیستم عامل دلخواه را با امتیازات root یا SYSTEM روی سیستمی که محصول آسیب‌دیده را اجرا می‌کند، اجرا کند. اضافه شده به CISA KEV در 2026-10-20.

Onamae Desktop Cloud (اینترنت GMO) ◐ تا حدی وصله شده است

Onamae Desktop Cloud سرویس VPS ژاپنی GMO Internet گفت که یک مهاجم برنامه‌های مخرب را در محیط‌های مشتری نصب کرده است که باعث خاموش شدن 26739 سرور بدون تاریخ راه‌اندازی فوری شده است (گزارش اواسط اکتبر 2026).

مرکز نرم‌افزار زیمنس حاوی یک آسیب‌پذیری عنصر مسیر جستجوی کنترل‌نشده است که می‌تواند به مهاجم محلی تأیید شده اجازه دهد تا یک DLL ساخته‌شده خاص را در فهرستی که برنامه جستجو می‌کند، قرار دهد و منجر به اجرای کد دلخواه با امتیازات برنامه آسیب‌دیده شود. اضافه شده به CISA KEV در 2026-10-20.

FoxIO تحقیقاتی را منتشر کرد (20 اکتبر 2026) که نشان می‌دهد محدودیت‌های هدر رمزگشایی نشده یا دیر در QPACK به یک فریم کوچک HTTP/3 HEADERS اجازه می‌دهد تا از حافظه سرور بزرگ استفاده کند (تا 4000× در Bun). هفت مورد از ده پیاده سازی آزمایش شده آسیب پذیر بودند. quic-go، Cloudflare quiche، lsquic و Wireshark وصله شده اند، در حالی که Bun، aioquic/mitmproxy و h3 در زمان انتشار بدون وصله باقی ماندند.

پشته های HTTP/3 / QPACK (quic-go، Cloudflare quiche، lsquic، Bun، aioquic، h3، Wireshark، …) · از ۲۰ اکتبر ۲۰۲۶ · به روز شده در ۲۲ اکتبر ۲۰۲۶، ۲۳:۲۹ UTC

یک نقص در تزریق دستور در عامل کدنویسی OpenCode AI به سرور MCP راه دور مخرب یا ربوده شده اجازه می دهد دستورات PowerShell را در ویندوز یا ماشین WSL یک توسعه دهنده هنگام شروع ورود به سیستم MCP OAuth اجرا کند. نقطه پایانی مجوز ارائه شده توسط سرور به صورت بدون فرار به نسخه قدیمی بسته باز منتقل شد. Anomaly آن را در 1.18.33 در 28 سپتامبر بدون CVE یا مشاوره رفع کرد، بنابراین اسکنرها 1.0.137 تا 1.18.32 را علامت گذاری نمی کنند. macOS و Linux تحت تأثیر قرار نمی گیرند. Pillar Security آن را پیدا کرد و به آن 9.8 امتیاز داد. هیچ بهره برداری در طبیعت گزارش نشده است.

عامل کدنویسی OpenCode AI (Anomaly) در ویندوز و WSL · از 19 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 16:00 UTC

Capcom می گوید شخص ثالثی به ID CAPCOM دسترسی غیرمجاز پیدا کرده است، حسابی که برای اجرای آنلاین برخی از بازی های Capcom نیاز است. 11,774,247 رکورد در سراسر جهان دارای آدرس ایمیل به اضافه زمان ایجاد حساب، آخرین زمان ورود به سیستم، تعداد ورود به سیستم و آخرین IP ورود به سیستم بودند. 43 نیز تاریخ تولد، جنسیت، کشور/منطقه و نام مستعار داشتند. گذرواژه‌ها بدون مجوز در 196 حساب تغییر کردند (از قبل بازنشانی شده‌اند). Capcom می گوید که هیچ گونه نشت گذرواژه های تنظیم شده توسط مشتری را تأیید نکرده است و هیچ داده کارت اعتباری در آن دخیل نیست. شناسایی در 19 اکتبر; در 21 اکتبر به پلیس استان اوزاکا و PPC ژاپن گزارش شد.

منتظر فیشینگ جعل هویت Capcom باشید.

شناسه CAPCOM (سرویس حساب آنلاین Capcom) · از 19 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 22:41 UTC

هشت کلید خصوصی میانی CA eMudhra Global TLS از نظر رمزنگاری ضعیف/قابل بازیابی بودند (گزارش محقق در 18 اکتبر). موزیلا، کروم، اپل و مایکروسافت واسطه ها را مسدود کردند. eMudhra آنها را در 19 اکتبر لغو کرد و به عنوان یک اقدام احتیاطی به ریشه ECC بی اعتماد شد. زمان‌های اجرا پایین‌دستی که فروشگاه‌های مورد اعتماد خود را ارسال می‌کنند (Go، Node.js، Electron، گواهی پایتون، curl، و غیره) به به‌روزرسانی‌های اضطراری بسته CA نیاز دارند تا دیگر به زنجیره‌های در معرض خطر اعتماد نکنند.

eMudhra / emSign جهانی TLS واسطه. هر مشتری در حال ارسال به فروشگاه‌های کالیفرنیا به سبک موزیلا · از ۱۸ اکتبر ۲۰۲۶ · به‌روزرسانی‌شده در ۲۲ اکتبر ۲۰۲۶، ساعت ۲۳:۲۹ UTC

ConnectWise پشتیبان‌گیری ابری را پس از به خطر انداختن اعتبارنامه غیرفعال کرد.

پشتیبان گیری ابری ConnectWise / هویت برنامه مایکروسافت 365 · از 17 اکتبر 2026 · به روز شده در 22 اکتبر 2026، 23:29 UTC

دو نقص حیاتی اجرای کد از راه دور در هسته PHP (CVE-2026-109618 و CVE-2026-109619، با نام مستعار "PHP2Shell") اوایل پس از افشای تحریم فاش شد. هر دو امتیاز CVSS 9.2 را دریافت می کنند و می توانند به یک مهاجم احراز هویت نشده اجازه دهند کد روی سرورهایی که درخواست های وب PHP را ارائه می دهند، به ویژه Apache mod_php اجرا کند. وصله های ارسال شده در 21 اکتبر 2026 (فروشندگان لوازم خانگی مانند QNAP هنوز در حال آماده سازی اصلاحات هستند). تلاش‌های بهره‌برداری قبل و بعد از پچ مشاهده شد و watchTowr/AWS اسکن فعال را گزارش می‌دهد.

PHP · از 17 اکتبر 2026 · به روز شده در 22 اکتبر 2026، 23:29 UTC

کنسول OpenCode (سرویس میزبانی شده توسط Anomaly) · از 17 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 23:29 UTC

چهار نقص Plex Media Server (CVE-2026-96652/96654/96655/96656)، که با هم Plex2Shell نامیده می شوند، زنجیره ای به سرقت توکن مدیریتی و اجرای کد غیرقانونی. محقق Zach Main جزئیاتی را در 16 اکتبر و یک PoC کمی بعد منتشر کرد. بهره برداری از سرورهای رو به اینترنت (کریپتوماینرها + پراکسی های مسکونی) تا 17 اکتبر آغاز شد. در 1.43.3.10861 ثابت شد (اوایل ماه اوت منتشر شد). CISA این زنجیره را با مهلت فدرال تا 23 اکتبر به KEV اضافه کرد.

سرور Plex Media · از 16 اکتبر 2026 · به روز شده در 22 اکتبر 2026، 11:20 UTC

FortiOS، FortiPAM، FortiProxy و FortiSwitchManager دارای یک آسیب‌پذیری پیمایش مسیر هستند که ممکن است به مهاجم احراز هویت شده با نمایه مدیریت و حداقل مجوز خواندن و نوشتن اجازه دهد تا فایل‌های دلخواه را از طریق دستورات CLI خاص بنویسد یا حذف کند. اضافه شده به CISA KEV در 2026-10-16.

چندین محصول Atlassian (Bitbucket Data Center، Confluence Data Center، Jira Service Management Center، Jira Software Data Center، Bamboo Data Center، Crowd Data Center، Crucible و Fisheye) حاوی فایل‌ها یا دایرکتوری‌هایی هستند که در دسترس طرف‌های خارجی است که می‌تواند به مهاجم غیرقانونی اجازه دسترسی به فایل‌های خاصی را در دایرکتوری اصلی نسخه‌های تحت وب در فهرست اصلی برنامه تحت تأثیر قرار دهد. اضافه شده به CISA KEV در 2026-10-15.

در 14 اکتبر 2026 Vercel نسخه‌های Next.js 16.4.1 و 15.5.28 را با دو اصلاحیه اجرای کد از راه دور تأیید نشده حیاتی عرضه کرد که از نسخه سپتامبر عقب مانده بود: CVE-2026-96889 / GHSA-2464-fhr4-w9xwfree (قابل استفاده از طریق تصویر با قابلیت استفاده از راه دور) API بهینه‌سازی هنگامی که SVGها در لینوکس مبتنی بر glibc و GHSA-673q-mjm6-r5xr، RCE در برنامه‌های روتر برنامه با اجزای حافظه پنهان پردازش می‌شوند، زمانی که یک تابع «استفاده از کش» چندین آرایه تایپ شده را برمی‌گرداند. یک Server Actions DoS با شدت بالا (GHSA-p3m5-59mp-jv5r) نیز ثابت شده است. GitHub مشاوره SVG را در 22 اکتبر به پایگاه داده جهانی خود اضافه کرد.

هیچ بهره برداری شناخته شده ای وجود ندارد.

Next.js (بعدی در npm)، شارپ / librsvg · از 14 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 23:03 UTC

Zeabur یک حادثه امنیتی 14 تا 15 اکتبر 2026 را فاش کرد که در آن یک مهاجم از اعتبارنامه‌های داخلی افشا شده ذخیره شده در متن ساده برای دسترسی به خوشه‌های مشترک در 9 منطقه، ریشه در 101 سرور اختصاصی GCP تحت مدیریت Zeabur و خواندن پایگاه‌داده پلتفرم استفاده کرد و حدود 3.22 میلیون 8 رکورد متغیر محیطی را در معرض دید قرار داد. Zeabur در حال پایان است: از 1 دسامبر 2026 سرویس های خوشه مشترک متوقف می شوند و سرورهای اختصاصی تمدید نمی شوند و در 31 دسامبر همه سرویس ها متوقف می شوند و داده های سرویس حذف می شوند. درخواست‌های بازپرداخت و ادعای حادثه در 30 نوامبر بسته می‌شوند.

کاربران باید هر راز ذخیره شده در Zeabur را بچرخانند و خارج کنند.

Zeabur (PaaS) · از 14 اکتبر 2026 · به روز شده در 22 اکتبر 2026، 23:29 UTC

Ahsay AhsayCBS حاوی یک آسیب‌پذیری تزریق فرمان است که می‌تواند به مهاجم راه دور اجازه دهد تا دستورات سیستم عامل را از طریق دستکاری پارامتر تصادفی در نقطه پایانی /rps/api/json/UpdateReceivers.do مؤلفه Replication Receiver اجرا کند. این آسیب پذیری را می توان با CVE-2026-105133 زنجیر کرد. CISA CVE-2026-105134، CVE-2026-105133 را بر اساس شواهدی مبنی بر بهره برداری فعال در تاریخ 14-10-2026 به کاتالوگ آسیب پذیری های مورد سوء استفاده شناخته شده اضافه کرد.

Cisco Secure Email Gateway حاوی یک آسیب‌پذیری نسبی پیمایش مسیر است که می‌تواند به یک مهاجم غیرقانونی و از راه دور اجازه دهد تا فایل‌های دلخواه را روی سیستم عامل زیربنایی بنویسد. اضافه شده به CISA KEV در 2026-10-14.

Palo Alto Networks PAN-OS حاوی یک آسیب‌پذیری تزریق کد است که می‌تواند به مهاجم احراز هویت شده با دسترسی به شبکه اجازه دهد تا کد دلخواه را با امتیازات ریشه روی فایروال اجرا کند. اضافه شده به CISA KEV در 2026-10-14.

GoDaddy (Starfield) دریافت که 404,607 گواهینامه TLS حاوی اطلاعات خط‌مشی (OIDهای خط‌مشی، CPS URI) هستند که با CP/CPS منتشر شده خود مطابقت ندارد، که تحت الزامات خط پایه انجمن CA/Browser به این معنی است که باید ظرف پنج روز لغو شوند. GoDaddy ضرب‌الاجل 18 اکتبر را از دست داد و می‌گوید گواهی‌ها در 21 اکتبر 2026 باطل شدند. هیچ چیزی هک نشد و هیچ کلیدی به بیرون درز نکرد، اما سایت‌هایی که هنوز یک گواهی لغو شده را ارائه می‌دهند می‌توانند هشدارهای مرورگر را نشان دهند یا تا زمانی که گواهی دوباره صادر نشده است غیرقابل دسترسی باشند.

گواهینامه های GoDaddy / Starfield TLS (DV، OV، EV) · از ۱۴ اکتبر ۲۰۲۶ · به روز شده در ۲۲ اکتبر ۲۰۲۶، ۲۳:۲۹ UTC

در طول شب 11 تا 12 اکتبر، مهاجمان کنترل از راه دور کنترل‌کننده‌های برودتی در معرض اینترنت را در صدها سوپرمارکت فرانسوی (Intermarché و Netto، Coopérative U، E. Leclerc و دیگران) به دست گرفتند، یخچال‌ها و فریزرها را مجبور به یخ‌زدایی مداوم با نقطه تنظیم حدود 50 درجه سانتی‌گراد کردند، و گزارش شده بود که ذخایر کوچک تازه و یخ زده فاسد شده‌اند. CERT-FR از سری Danfoss AK-SM و AK-SC به اضافه کنترل‌کننده‌های Copeland و Dixell xweb نام می‌برد، می‌گوید کمپین‌ها احتمالا هنوز ادامه دارند و به اپراتورها می‌گوید که همه کنترل‌کننده‌ها را از اینترنت عمومی خارج کنند.

بیشتر واحدهای Danfoss که تحت تاثیر قرار می‌گیرند، مدل‌های پایان عمر (AK-SM 800، AK-SC 355) هستند که هیچ تعمیری دریافت نمی‌کنند. بردار ورودی و مهاجم هنوز تایید نشده اند.

کنترل‌کننده‌های تبرید Danfoss AK-SM / AK-SC، کنترل‌کننده‌های Copeland و Dixell xweb · از 11 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 23:29 UTC

شبکه هسته لینوکس (سمت میزبان KVM/Firecracker و موارد مشابه) · از 8 اکتبر 2026 · به روز شده در 22 اکتبر 2026، 11:18 UTC

GhostAction، کمپینی که اولین بار توسط GitGuardian در سپتامبر 2025 ثبت شد، در سال 2026 بازگشت. در اوت-سپتامبر 2026 به 772 مخزن رسید، سپس در 8 تا 12 اکتبر افزایش یافت: حدود 1900 حساب GitHub در معرض خطر، جریان کار "0+30 ممیزی مجدد" جعلی را تحت فشار قرار دادند. (گیت گاردین). محموله جدید از اسرار Actions مخزن به اضافه هر اعتباری که در تاریخچه git کامل یافت می شود تا 193.32.204.199 از طریق HTTP ساده استخراج می کند. GitHub شروع به جلوگیری از اجرای گردش کار در حدود 9 اکتبر کرد.

اپراتور به فیشینگ با موضوع GitHub (my-github.com) و یک VS Code tasks.json + جعلی فونت .woff2 دزدی که در مخزن 94 یافت شد، رفت.

مخازن GitHub / GitHub Actions (حساب های نگهدارنده به خطر افتاده) · از 8 اکتبر 2026 · به روز شده در 22 اکتبر 2026، 23:29 UTC

در 8 اکتبر 2026، tensorlake@0.5.144 از مخزن واقعی GitHub (با منشأ npm) منتشر شد که دارای یک قلاب پیش‌نصب است که یک کرم سرقت اطلاعات به سبک Shai-Hulud را نصب می‌کند. اسرار npm/GitHub/cloud/SSH/AI-tool را جمع‌آوری می‌کند، به بسته‌های دیگر منتشر می‌کند، و یک «gh-token-monitor» نصب می‌کند که در صورت باطل شدن توکن GitHub به سرقت رفته، فهرست خانه را پاک می‌کند. پین 0.5.143; قبل از چرخاندن توکن ها، مانیتور را بردارید.

tensorlake (npm) · از 7 اکتبر 2026 · به روز شده در 22 اکتبر 2026، 23:29 UTC

گروه رسانه‌ای ژاپنی Nikkei Inc. (صاحب فایننشال تایمز) می‌گوید مهاجمان از اعتبارنامه‌های سرقت شده، که از راه‌های ناشناخته به دست آمده بودند، برای دسترسی به سرویس ابری که برای توسعه سیستم استفاده می‌کند، در ساعات اولیه تا صبح 7 اکتبر 2026 استفاده کردند و اطلاعات شخصی ذخیره‌شده در آنجا لو رفت. تا 16 اکتبر، حدود 1.83 میلیون مورد فاش شده بود: حدود 150000 مورد حاوی نام، آدرس ایمیل، آدرس پستی، شماره تلفن یا تاریخ تولد هستند (حدود 120000 شامل آدرس ایمیل هستند) و حدود 1.68 میلیون فقط حاوی اطلاعاتی هستند که نمی توانند شخص را شناسایی کنند. داده کارت اعتباری وجود ندارد.

Nikkei اعتبارنامه‌ها را غیرفعال کرد، در 11 اکتبر به کمیسیون حفاظت از اطلاعات شخصی ژاپن گزارش شد و می‌گوید که تاکنون هیچ سوء استفاده‌ای پیدا نکرده است. در 21 اکتبر Nikkei BP اعلام کرد که حدود 800000 مورد از موارد فاش شده متعلق به کاربران خدمات آن است. BleepingComputer این را سومین حادثه افشا شده Nikkei در حدود یک ماه گذشته می داند.

خدمات ابری توسعه Nikkei Inc. (اطلاعات مشتریان Nikkei و خدمات گروهی مانند Nikkei BP) · از 7 اکتبر 2026 · به روز شده در 22 اکتبر 2026، 20:31 UTC

Citrix NetScaler ADC (Citrix ADC سابق) و Citrix NetScaler Gateway (سابق Citrix Gateway) دارای محدودیت نامناسبی از عملیات در محدوده آسیب پذیری بافر حافظه هستند که می تواند امکان انکار سرویس را فراهم کند. در تاریخ 04/10/2026 به CISA KEV اضافه شد.

Zammad GmbH Zammad حاوی یک آسیب‌پذیری مدیریت امتیازات نامناسب است که می‌تواند به کاربر محلی zammad اجازه دهد تا امتیازات را برای روت افزایش دهد. این آسیب پذیری را می توان با CVE-2026-102489 زنجیر کرد. CISA CVE-2026-102490، CVE-2026-102489 را به کاتالوگ آسیب پذیری های شناخته شده سوء استفاده شده در 02-10-2026 بر اساس شواهدی از بهره برداری فعال اضافه کرد.

Volexity مشاهده کرد که عامل تهدید UTA0576 یک Ivanti Connect Secure-bypass / RCE zero-day (CVE-2026-104935) را با نقص‌های اضافی از حدود 1 تا 3 اکتبر 2026 به زنجیر می‌کند تا ریشه احراز هویت نشده را در دستگاه‌های کاملا اصلاح‌شده وصله‌شده در حافظه‌های مموری-exell دریافت کند. ایوانتی CVE-2026-104935 را در 13 اکتبر وصله کرد. CISA آن را به KEV اضافه کرد. یک قطعه افزایش امتیاز از زنجیره هنوز در حال رفع شدن بود.

Ivanti Connect Secure (ICS) · از 1 اکتبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 23:29 UTC

Fortinet FortiMail CVE-2026-104286 (CVSS 9.8) یک فایل دلخواه بدون احراز هویت است که از طریق پیمایش مسیر / مسائل تهی بایت در جریان های وب رمزگذاری مبتنی بر هویت نوشته می شود. CISA بهره برداری فعال را تأیید کرد و دستور کاهش فدرال را صادر کرد. Fortinet FG-IR-26-175 را با وصله‌ها و تخفیف‌های موقت منتشر کرد (IBE را غیرفعال کنید / مدیریت را محدود کنید / ایمیل را محدود کنید).

Fortinet FortiMail · از 30 سپتامبر 2026 · به روز شده در 22 اکتبر 2026، 11:18 UTC

PingCAP تأیید کرد که بین 9 سپتامبر و 7 اکتبر 2026 یک شخص غیرمجاز از اعتبار حساب سرویس دزدیده شده برای دسترسی به سیستم های داخلی، کپی داده ها و دریافت کد منبع استفاده کرده است. سوابق صادر شده شامل نام‌ها/ایمیل‌های کاربر TiDB Cloud، انجمن‌های سازمان/پروژه، متن ویرایشگر SQL، داده‌های صورت‌حساب/قرارداد و یک جدول کلید API رمزگذاری‌شده بود. گروه اخاذی FulcrumSec ادعا می کند 10.6 ترابایت و 115 هزار کلید API متن ساده دارد. این ارقام تأیید نشده اند و PingCAP ادعای کلید API را رد می کند. هیچ داده شواهدی ذخیره شده در TiDB تحت تأثیر قرار نگرفت.

PingCAP TiDB Cloud (پلتفرم پایگاه داده میزبانی شده) · از 9 سپتامبر 2026 · به روز شده در 22 اکتبر 2026، ساعت 23:29 UTC