Hírolvasó

Heti kitekintő: A heti válogatásban a hálózati peremeszközök kihasználása és az AI támadói felhasználása kap kiemelt szerepet. A Cisco egy aktívan kihasznált SSL VPN-hibát javított, a Dream pedig olyan támadási láncot tárt fel, amely PAN-OS-tűzfalakról az Active Directory felderítéséig vezetett. Az AI többféle szerepben jelenik meg: eszközfejlesztési segítségként, művelettervezőként és autonóm végrehajtóként. A szolgáltatói incidensek adatlopást és közszolgáltatási kiesést is okoztak.

Moldova jelentős kiberbiztonsági incidenssel néz szembe, miután október 19. és 23. között támadók állami digitális szolgáltatások sebezhetőségeit kihasználva nagy mennyiségű személyes adatot próbáltak megszerezni.

A Cisco biztonsági frissítéseket adott ki az Adaptive Security Appliance (ASA) és a Firepower Threat Defense (FTD) szoftvereket érintő, nulladik napi sérülékenység javítására.

Az Australian Signals Directorate (ASD) főigazgatója, Abigail Bradshaw arra figyelmeztetett, hogy az országnak fel kell készülnie a mindennapi szolgáltatások egyre gyakoribb zavaraira, mivel megszaporodtak a mesterséges intelligenciával támogatott kibertámadások.

A TianoCore EDK II firmware fejlesztési környezet PXE Base Code driverében memóriakezelési hibát azonosítottak, amely hálózati indítás közben kihasználható lehet.

Az Apple visszamenőleg elérhetővé tette régebbi iPhone és iPad készülékekre azokat az előző hónapban közzétett biztonsági frissítéseket, amelyek aktívan kihasznált nulladik napi sebezhetőségeket is javítanak. Az Apple még szeptemberben adta ki ezeket a javításokat az iOS 26.7.1, az iPadOS 26.7.1, a macOS Tahoe 26.7.1 és a macOSSequoia 15.8.1 verziókhoz. A szóban forgó CVE-2026-86950 számú out-of-bounds […]

A LiteLLM egy AI-fejlesztésekhez használt, széles körben elterjedt nyílt forráskódú szoftver, melyet az elmúlt napokban súlyos ellátásilánc-támadás ért. Az incidens egy hónapokkal korábban kiszivárgott, de később vissza nem vont hozzáférési kulcs eredménye lehetett – ennek felhasználásával a támadók hozzáfértek a fejlesztési környezethez, majd megszerezték a projekt forráskódjának módosításához szükséges jogosultságokat. A támadók a szoftver 1.107.0 […]

Ukrajna számítógépes vészhelyzeteket kezelő csoportja, a CERT-UA a múlt hét végén olyan incidensekről számolt be, amelyek során támadók internetkapcsolattal rendelkező Dahua márkájú kamerákat és videórögzítő berendezéseket kompromittáltak.

Az ESET kutatói egy korábban nem dokumentált, MythicRatatoskr nevű backdoort azonosítottak, amelyet az UAC-0099 (más néven Earth Sirrush) használhatott az ukrán kormány, a gabona szállítmányozás, az energia szektor, valamint egy logisztikai vállalat elleni támadásban.

Egy kiberbiztonsági esemény hatására a University of New Mexico Health System hétfőn több, mint 30 klinikáján törölte az előjegyzett időpontokat és arra kérte betegeit, hogy ne jelenjenek meg a Albuquerque-ben található központi kórház rendelésein. A University of New Mexico Health System (UNM Health System) évente mintegy 900.000 járóbeteg-ellátást végez és közel 100.000 pácienst fogadnak a […]

Overview

Fireblocks' mpc-lib library contains a cryptographic fail-open vulnerability in its BIP32 hardened derivation implementation in the case of a missing private parent key. This breaks the ancestor isolation property of hardened derivation, allowing an attacker with a compromised lower-level signer share to recover the higher-level share it was derived from.

Description

Fireblocks is a digital-asset custody and wallet platform that secures the private keys behind cryptocurrency wallets for institutions and exchanges, using multi-party computation (MPC) so that no single machine ever holds a complete key.

Fireblocks’ key security pipeline contains two layers: MPC, which splits a single key into shares, and hardened derivation, which mathematically isolates each share from its key hierarchy. Normally, the derivation delta between parent and child keys is formed by hashing the private parent key, a derivation index, and associated metadata.

CVE-2026-90975 A fail-open vulnerability was identified within the BIP32 hardened derivation implementation which fails to reject operations where no parent secret is present. If a parent key is missing, the implementation substitutes the secret parent contribution with a null buffer. Because the buffer becomes a known constant, 0, the delta becomes computable, violating ancestor isolation.

Impact

An attacker who compromises a single MPC party's descendant signer share, and who knows the associated chain code, can compute the public derivation delta and subtract it to recover that party's ancestor share, repeating the operation up the hierarchy to obtain that party's root share. The isolation between derivation levels is reduced to a publicly computable scalar, so a single leaf-level share compromise extends to that party's shares across the entire key hierarchy managed by the MPC cluster.

The primary MPC secret-sharing layer still prevents reconstruction of a full private key from a single compromised party's shares, so this flaw does not by itself yield a spendable key. Its significance is the elimination of a defense-in-depth layer: hardened derivation no longer provides post-compromise ancestor isolation, threshold-security assumptions degrade as compromise propagates across derivation levels over time, and the downgrade occurs silently with no error or log signal. In BIP32 deployments where the chain code is treated as public, the precondition of knowing the chain code is trivially met.

Solution

At the time of writing, Fireblocks could not be reached to coordinate this vulnerability, and no vendor fix is available. Integrators can, however, reduce exposure with the following mitigations.

• Treat the chain code as secret. The attack is only available to a party that knows the chain code, because the derivation delta is computed as HMAC-SHA512(chaincode, ...). Chain codes should not be distributed in watch-only extended public keys or otherwise exposed to untrusted parties. Where a deployment can keep the chain code confidential, the delta is no longer publicly computable and ancestor-share recovery is not possible. This is the most effective mitigation available without a code change.

• Do not rely on hardened derivation for isolation between signer shares. Audit derivation paths for hardened segments and treat the compromise of any single share as potentially exposing that party's other shares across the derivation hierarchy.

A complete fix requires a change in the library.

Acknowledgements

Thanks to hodlturk for reporting this vulnerability. This document was written using AI assisted tools by Alexander Curtis and Alex Lewis.

Overview

vsomeip, COVESA's open source implementation of the SOME/IP automotive communication middleware, contained a memory allocation vulnerability present in versions 3.7.3 and below. A vsomeip reliable (TCP) SOME/IP endpoint grows its receive buffer to an attacker-declared message size before validating that the declared bytes have actually been received, allowing a remote, unauthenticated peer to exhaust host memory and deny service. The issue was reported publicly as COVESA/vsomeip issue #1009 and fixed in release 3.7.4 (2026-07-06).

Description

CVE-2026-91141
vsomeip is a middleware implementation of the Scalable service-Oriented MiddlewarE over IP (SOME/IP) protocol, widely used for service-oriented communication between electronic control units (ECUs) in automotive and other embedded environments. A SOME/IP message begins with a 16-byte header that includes a 32-bit length field declaring the size of the message that follows.

A vulnerability was discovered in the handling of this length field on reliable (TCP) endpoints. When a message arrives, vsomeip grows its receive buffer to the size declared in the length field in order to read the incoming message, before confirming that those bytes have actually been received. In the default configuration, no size limit is applied to reliable endpoints, so a peer can declare a message size of up to roughly 4 GB and cause the receiver to allocate that memory. Because a freshly accepted connection reaches this path on its first message, no valid service, credentials, or SOME/IP authentication are required to trigger the allocation. The client endpoint contains the same behavior, where a malicious or compromised server can attack a connecting client.

Deployments that explicitly configure a reliable message-size limit are not affected.

This issue is publicly known. It was reported as COVESA/vsomeip issue #1009 (opened 2026-02-26) and fixed in release 3.7.4 (released 2026-07-06).

Impact

A remote, unauthenticated peer can force the host to allocate an attacker-chosen amount of memory, up to approximately 4 GB per connection, by sending a single short message on a normal TCP connection to any reachable reliable SOME/IP endpoint in the default configuration. On a memory-constrained node this can terminate the service outright: a service limited to 1.5 GB was OOM-killed by a single 16-byte message claiming a 3 GB payload. On a memory-rich host, the allocation for a single connection is released when the connection closes, so sustained memory exhaustion and denial of service follow from holding or repeating connections, each forcing its own allocation.

Solution

Upgrade to vsomeip 3.7.4 or later. This issue is fixed in release 3.7.4 (released 2026-07-06). The fix replaces the unlimited compile-time default (MESSAGE_SIZE_UNLIMITED) with a bounded DEFAULT_MAX_MESSAGE_SIZE of 10 MiB, so reliable endpoints reject an oversized declared length before growing the receive buffer even when no limit is explicitly configured. The release also adds a regression test for an oversized length field. The issue and fix are tracked publicly in COVESA/vsomeip issue #1009.

Deployments that cannot upgrade immediately should apply the following mitigations.

• Deployments can explicitly set max-payload-size-reliable (or the equivalent per-service reliable message-size limit) to a value appropriate for the service. Endpoints with such a limit configured reject oversized declared lengths and are not affected by this issue. This is the most effective mitigation available without upgrading.

• Because the vulnerability is reachable by any host that can open a TCP connection to a reliable SOME/IP endpoint, exposure should be minimized through network segmentation. Reliable endpoints should be confined to trusted, isolated in-vehicle or lab networks, and firewall or access-control rules should limit connectivity to known, authorized peers. SOME/IP endpoints should never be exposed to untrusted or external networks.

• Operators should monitor for anomalous memory growth on services offering reliable endpoints and for unexpected or repeated inbound TCP connections to SOME/IP ports, which may indicate attempts to exploit this vulnerability.

Acknowledgements

Thank you to the Jaafer Rahmani for reporting this vulnerability. This document was written by Alexander Curtis.

Egy széles körben használt adattömörítési könyvtár kritikus sérülékenysége miatt számos népszerű programozási környezet és webes alkalmazás válhat támadhatóvá. A CVE-2026-111497 azonosítón nyilvántartott, HTTP2Shell, illetve Node2Shell néven is emlegetett biztonsági hiba távoli kódfuttatást, érzékeny adatok kiszivárgását és szolgáltatásleállást is lehetővé tehet.

Egy új biztonsági jelentés szerint a Tailscale SSH-ban található hibák miatt egy már kompromittált eszközről kiindulva a támadó root-jogosultságot szerezhet más szervereken is. A Tailscale a jelentés megjelenéséig nem erősítette meg az eredményeket, és nem adott ki hozzájuk hivatalos közleményt, CVE azonosítót vagy javított verziót. A Tailscale SSH a Tailscale privát hálózatának beépített távoli elérési […]

A Signal nemrég adott ki javítást egy kritikus súlyosságú sérülékenység miatt, amely kihasználása lehetővé tette a rosszindulatú hívók számára, hogy a hang-és videócsatornákat akkor is aktívan tartsa, miután a felhasználó bontotta a vonalat. A CVE- 2026-113380 számú sérülékenység a RingRTC nevű, nyílt forráskódú híváskezelő WebRTC-alapú könyvtárat érinti, amelyet a Signal a hang-és videóhívásokhoz használ. A […]

Overview

Two memory-related vulnerabilities have been identified in PHP versions prior to 8.2.35, 8.3.36, 8.4.27, and 8.5.12. An unauthenticated remote attacker with network access to PHP web services can exploit these vulnerabilities via specially crafted HTTP requests to potentially achieve arbitrary code execution.

Description

PHP is a widely used open-source scripting language designed for web development and server-side applications. It powers millions of websites and web applications worldwide and can be deployed through a variety of server configurations, including PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP, and LiteSpeed.

CVE-2026-109618: A memory corruption vulnerability exists in the out-of-memory (OOM) handling mechanism of PHP versions prior to 8.2.35, 8.3.36, 8.4.27, and 8.5.12. The vulnerability occurs when an OOM condition interrupts request processing while internal request data is only partially initialized; subsequent cleanup routines may access the invalid memory, potentially causing memory corruption and enabling arbitrary code execution.

CVE-2026-109619: A use-after-free vulnerability exists in the global state management of PHP versions prior to 8.2.35, 8.3.36, 8.4.27, and 8.5.12. The vulnerability occurs when a worker retains a reference to request-owned state after its backing memory has been freed. A subsequent request handled by the same worker can access this stale state before normal request initialization resets it, potentially causing memory corruption and enabling arbitrary code execution.

Impact

Successful exploitation of these vulnerabilities allows an unauthenticated attacker to remotely execute arbitrary code via specially crafted HTTP requests, compromising the confidentiality, integrity, and availability of the web service and underlying infrastructure. Apache mod_php deployments are at particularly high risk, as proof-of-concept exploitation has demonstrated that unauthenticated requests can trigger the attack before any application code executes.

Solution

Refer to the Vendor Information section below for newly patched versions of PHP that remediate these vulnerabilities. All PHP users are strongly encouraged to update immediately to PHP 8.2.35, 8.3.36, 8.4.27, or 8.5.12. Source downloads are available on the official PHP release page at php.net/downloads.

Linux users are advised to check with their distribution vendor for updated packages, as many distributions received patches in advance. For PHP 8.1 and older versions that no longer receive official updates from the PHP project, contact your LTS vendor for backported fixes or upgrade to a supported version. The PHP security team has provided limited source backports for PHP 7.4, PHP 8.0, and PHP 8.1 to assist users building from source or without access to an LTS vendor.

If immediate patching is not feasible, the following temporary mitigation measures may reduce exposure to specific attack paths, though they do not provide complete protection. Because these vulnerabilities are closely related, mitigations for both CVEs should be applied:

For CVE-2026-109618 (OOM Corruption):

• Set memory_limit=-1 at an administrative level so it cannot be overridden by applications, for example via php_admin_value in the FPM pool or Apache configuration.
• Set a low post_max_size (8M for applications without file uploads, 32M if uploads are necessary).
• Keep upload_max_filesize below post_max_size.
• Enforce limits at the web server or proxy level for decoded request-body size, input variable count, multipart part count, header count, and nesting depth.
• Use container or cgroup limits as an availability boundary with policies that kill only the affected worker. Notably, RLIMIT_AS or RLIMIT_DATA should not be used to bound memory, as these cause mmap() to fail once the limit is reached, triggering the vulnerable code path rather than preventing it.

For CVE-2026-109619 (Stale Global State):

• Set session.upload_progress.enabled=0 in php.ini, FPM pool, or server configuration and restart all workers.
• On PHP 8.5, set fatal_error_backtraces=0 and restart all workers.
• Remove invalid or deprecated settings applied per request that emit diagnostics before initialization.
• Remediate attacker-reachable fatal errors and execution timeouts.

System owners can limit the potential impact of successful exploitation by implementing network segmentation and ensuring that PHP installations are configured to run with minimum necessary privileges. Users are advised to monitor closely for unusual PHP process behavior or unexpected memory allocation patterns.

Acknowledgements

Thanks to OpenAI, Wiz, and Ryan at Calif.io for reporting these vulnerabilities. This document was written by Molly Jaconski.

A két kritikus PHP-sérülékenység kezelése világszerte rendkívüli üzemeltetési akcióvá vált. Ahogy a tegnap kiadott riasztásunkban is felhívtuk a figyelmet, a CVE-2026-109618 és CVE-2026-109619 javításai megjelentek, ugyanakkor több szervezet a frissítés előkészítése érdekében átmenetileg leállította webes szolgáltatásait, és a fenyegetettségi megfigyelők már támadási kísérletekről is beszámolnak. A PHP projekt október 21-én tette közzé a javított kiadásokat, […]

A PHP Foundation szerdai közleményében részletesen ismertette annak a két kritikus PHP-sérülékenységnek a hátterét, amelyek világszerte jelentős aggodalmat váltottak ki a kiberbiztonsági szakemberek körében.

A Siemens megerősítette, hogy támadók aktívan kihasználják a Siemens Software Center CVE-2026-110936 azonosítójú sérülékenységét. A támadás során a program eredeti, érvényes digitális aláírással rendelkező példányát használták fel saját kártékony DLL-fájljaik betöltésére. A vállalat a hibát a 4.0.9.8-as verzióban javította. A meglévő telepítések az alkalmazás következő indításakor automatikusan frissülnek. A Siemens szerint a támadók nem módosították […]

Kedden reggel széles körű üzemzavar sújtotta a Revolut nevű fintech céget. Az alkalmazás, a mobilbanki szolgáltatások és a számlák közötti átutalások világszerte akadozni kezdtek. A Downdetector kiesésfigyelő oldalon több ezer felhasználó jelzett hibát. A cég állapotjelző oldala szerint összesen 28 szolgáltatás volt részlegesen elérhetetlen, köztük a bejelentkezés, a kártyás fizetés, a pénzváltás, a tőzsdei kereskedés és az élő ügyfélchat.