Hírolvasó

Egy észak-karolinai zenészt 18 hónap börtönbüntetésre ítéltek, miután több mint 10 millió dollár jogdíjat szerzett egy nagyszabású streamingcsalási rendszerrel. Michael Smith a Spotify, Apple Music, Amazon Music és YouTube Music platformjain manipulálta dalainak lejátszási adatait. Az 54 éves férfi márciusban bűnösnek vallotta magát. A vád szerint 2017 és 2024 között több százezer, mesterséges intelligenciával generált […]

Egy új, hirdetési fiókok kezelőit célzó kampány hamis ChatGPT-, Gemini-, Claude- és Perplexity-oldalakat használ a bejelentkezési adatok és a többtényezős hitelesítéshez (MFA) szükséges kódok ellopására. A támadás során a böngésző a böngészőben (browser-in-the-browser, BitB) technikát alkalmazzák. A kampány főként az ügynökségi munkatársakat, a médiavásárlókat és több ügyfél hirdetési fiókját kezelő adminisztrátorokat célozza. A megszerzett hozzáférések […]

Több mint száz legitim weboldalt kompromittáltak ukrán felhasználók megtévesztésére és adatlopó kártevővel való megfertőzésére, derül ki az ukrán számítógép-biztonsági eseménykezelő központ, a CERT-UA friss jelentéséből. A szeptemberben felfedezett kampány során a támadók rosszindulatú kódot juttattak az érintett oldalakba, a látogatók pedig egy hamis Cloudflare-ellenőrző oldalt kaptak. Ez az oldal azt kérte, hogy az illető másoljon […]

Az Atlassian 2026. október 5-én tette közzé a CVE-2026-21589 jelzésű, kritikus sérülékenységet. Bejelentkezés nélkül is elérhetők lehetnek a webalkalmazás gyökérkönyvtárán belüli, pontosan ismert elérési útvonalú fájlok. A hiba nyolc Data Center és Server terméket érint, köztük a Jira Software-t, a Confluence-t és a Bitbucketet. A gyártó CVSS 4.0 szerint 9,3-as, kritikus besorolást adott neki. A […]

A Trump Mobile 3615 ügyfelének személyes adatai kerültek nyilvánosságra a dark weben. A támadás mögött a BYOD nevű, újonnan alakult csoport állhat. A Trump Mobile 2025. június 16-án indult. Donald Trump Jr. és Eric Trump jelentette be a New York-i Trump Towerben. Nem klasszikus mobilszolgáltató, hanem MVNO (virtuális mobilhálózati operátor). Saját átviteli hálózata nincs. A […]

A Wikimedia Foundation 2026. október 5-én közzétett részletes jelentése szerint a feltehetően az OpenAI-hoz köthető AI-ügynökök engedély nélkül szerkesztettek wikiket, egy jegyzetelőeszközt próbáltak feltörni, és hatalmas forgalmat generáltak. Ez a forgalom valószínűleg hozzájárult egy májusi részleges szolgáltatáskieséshez. A beszámolók szerint szinte mind tesztszerkesztés volt, egy sem jelent meg az olvasók által látott oldalakon. Néhány módosítás […]

Egy fehérorosz aktivista hackercsoport bizonyos beszámolók szerint közel két éven keresztül hozzáféréssel rendelkezett egy orosz egészségügyi szervezet hálózatához.

Az új textGrain technológia nem rejtett karaktereket helyez el a szövegben, hanem finoman módosítja a modell szó- és tokenválasztását. Az így kialakuló, emberi szemmel észrevehetetlen statisztikai mintázatot egy megfelelő detektor később felismerheti. Az OpenAI szerint a vízjel sem olvasáskor, sem a szöveg kimásolásakor nem látható. Ez a megoldás ugyanakkor nem tévedhetetlen. Az OpenAI tesztjei szerint […]

Az orosz Star Blizzard egyetlen kattintásra egyszerűsítette a fertőzési láncát, és Ukrajnáról globális célpontokra váltott. Az adathalászat a hét másik meghatározó témája: Google-ellenőrzött hirdetéseken keresztül lopták el a Ledger-tárcák helyreállítási kifejezéseit. Két adatvédelmi incidensről is beszámoltak: egy török e-kereskedelmi szolgáltatóhoz kapcsolódó támadásnál legalább 10,8 millió ember adatai érintettek, Lengyelországban pedig illetéktelen hozzáférést észleltek egy több […]

Kiadásra került a Signal üzenetküldő alkalmazás 8.30-as verziója, így minden támogatott operációs rendszer (Android, iOS, Linux, macOS és Windows) számára elérhetővé vált a helyi biztonsági mentés funkció. Android rendszeren közel egy éve került bevezetésre a funkció, amely lehetővé teszi a felhasználók számára, hogy végpontok közötti titkosítással ellátott biztonsági mentést készítsenek a csevegéseikről, így a készülék […]

Overview

An Out-of-bounds Write vulnerability in the InsydeH2O IHISI software used by HP PC BIOS can allow a local attacker with OS kernel privileges to perform arbitrary physical memory writes, including writes to System Management RAM (SMRAM). Because the vulnerable code executes in System Management Mode (SMM), successful exploitation can allow an attacker to modify SMM-protected memory and potentially achieve arbitrary code execution in SMM. Depending on the platform's memory and firmware configuration, the arbitrary physical memory write primitive may also have implications for UEFI firmware update or flash-related operations.

Description

HP PC BIOS is firmware that initializes and manages hardware components during the boot process and provides runtime services to the operating system and provide the ability to update firmware. The affected system uses InsydeH2O Kernel version 5.5 or earlier. The BIOS includes custom HP SMM handlers that execute in System Management Mode (SMM), a highly privileged CPU execution mode that is isolated from the operating system.

CVE-2026-12855: An Out-of-bounds Write vulnerability in the H19WMIHandlerSmm module (GUID f1946499-571b-44c3-9b9c-cc55210b0c02) allows a local attacker with OS kernel privileges to read or write arbitrary physical memory, including SMRAM, through a Software SMI handler.

An attacker with kernel-level privileges can trigger the vulnerable SMM handler by issuing a Software System Management Interrupt (SMI) through I/O port 0xB2 and supplying specially crafted CPU register values. The vulnerable handler does not adequately validate the supplied parameters before performing memory operations, allowing the attacker to influence the physical address and data involved in the operation.

Because the affected handler executes in SMM, the resulting arbitrary physical memory write can target memory regions that are normally inaccessible to software executing outside SMM, including SMRAM. Modifying SMM code or data may allow an attacker to alter subsequent SMM execution and potentially achieve arbitrary code execution in SMM. The ability to affect firmware or ROM contents is platform-dependent and is not assumed as a direct consequence of this vulnerability.

Impact

An attacker with privileged OS kernel access (ring 0) can exploit the vulnerability by raising Software SMI interrupts through I/O port 0xB2 with crafted CPU register values. Modifying SMM code or data may allow an attacker to alter subsequent SMM execution and potentially achieve arbitrary code execution and persistence via modifying SMRAM.

Solution

Users should check HP's security bulletins to determine whether their system is affected. Insyde advisory is available at https://www.insyde.com/security-pledge/sa-2026009/

Acknowledgements

Thank you to Zhenyu Liu for reporting these vulnerabilities. This document was written by Vijay Sarvepalli.

Egyre gyakrabban célozzák meg ukrán katonai személyzetek és kormányhivatalnokok telefonjait az orosz kibertámadók, kémkedés és anyagi érdekek által vezérelt okokból. Az Ukrajnai Különleges Hírközlési és Információvédelmi Állami Szolgálat azt állapította meg hogy mind Android és iOS alapú eszközöket támadnak rosszindulatú alkalmazások és sérülékenységek kihasználásával. Az egyik ilyen eszköz a „DarkSword” nevű sebezhetőséget-kihasználó eszköz melyet kifejezetten […]

Kibertámadás érte a litván belügyminisztérium egyik információs rendszerét. A támadók az EPEKIS rendszerhez szereztek jogosulatlan hozzáférést. A rendszert 2018 óta nem használják aktívan, jelenleg archivált rendszerként működik. Az EPEKIS korábban a litván állampolgároknak és külföldieknek nyújtott, a személyes és egyéb okmányok kiadásával, valamint a tanácsadással kapcsolatos közszolgáltatásokat támogatta. Az archivált rendszer a litván állampolgárságot kérő […]

A Renfe spanyol állami vasúttársaság rendszereibe behatolás történt egy korábban kompromittálódott vasúti infrastruktúrakezelő vállalat, az Adif szerverei miatt, amelyekkel hálózati kapcsolatban álltak. A támadók korlátozott számú nevekhez és e-mail címekhez fértek hozzá. Érzékenyebb adatok, mint például banki fizetési adatok vagy személyi azonosítók nem szivárogtak ki. A Renfe azonnal alkalmazta az incidenskezelési protokollokat és elzárta az […]

A Kiteworks arra figyelmeztette ügyfeleit, hogy egy esetleges zero-day támadás miatt ideiglenesen állítsák le rendszereiket. A vállalat a hatóságoktól kapott hiteles információkat egy lehetséges támadásról, ugyanakkor jelenleg nincs tudomása a Kiteworks-rendszerek kompromittálódásáról. A Kiteworks egy amerikai szoftvercég, amely biztonságos és bizalmas kommunikációt lehetővé tevő termékeket kínál, amelyeket többek között hatóságok és pénzügyi intézmények is használnak. […]

Az utóbbi hetekben több súlyos kibertámadás érte a lengyel egészségügyi szektort. A felhőalapú, Qbusoft által fejlesztett Medyc elektronikus orvosi platform egy SQL-injekciós sérülékenység miatt vált kompromittálttá. Az augusztusi támadás során páciensek személyes adatait (nevek, lakcímek, azonosítók) és nagy valószínűséggel érzékeny egészségügyi dokumentumokat, például kezelési zárójelentéseket is megszerezték. A támadók egy titkosított adatbázis-archívumot szivárogtattak ki, melynek […]

Újra aktívan kihasználja a ShinyHunters kiberbűnözői csoport a CVE-2026-35273 azonosítójú, Oracle PeopleSoft rendszereket érintő sérülékenységet. A hibát az Oracle június 10-én javította, miután a Mandiant korábban jelezte, hogy a támadók május 27. és június 9. között, zero-dayként használták ki, elsősorban felsőoktatási intézmények ellen. A mostani kampányban azonban a támadók már olyan szervezeteket is célba vehettek, […]

Az Apple biztonsági frissítést adott ki az iOS, iPadOS és macOS rendszerek régebbi verzióit érintő sebezhetősége miatt, amelyet a cég elmondása szerint célzott támadások során is kihasználhattak. A CVE-2026-86950 azonosítójú sebezhetőség a CoreGraphics összetevőt érintő out-of-bounds memóriaírási hiba, ami tetszőleges kódfuttatást tesz lehetővé. Az Apple a határellenőrzés (bounds checking) fejlesztésével oldotta meg a problémát. A […]

Az OpenAI még a hónap elején mutatta be az Astrát, mint eddigi legerősebb modelljét. A cég a következő hónapban tervezte az újabb modell kiadását, azonban biztonsági aggályok miatt úgy döntöttek, egyelőre elmarad a megjelenés. A The Wall Street Journail (WSJ) szerint az Astra 6.1 névre keresztelt modell kiadása a következő hónapra volt tervezve, viszont a […]

Az OpenAI megerősítette azt az új biztonsági incidenst, amely során a mesterséges intelligencia (MI) ágensei felhasználók által megadott képeket töltöttek fel külső képtároló szolgáltatókhoz. A vállalat tájékoztatása szerint eddig 53 ilyen esetet azonosítottak annak az átfogó vizsgálatnak a részeként, amelyet az ágensek nem kívánatos viselkedésével kapcsolatban indítottak még a Hugging Face-t érintő biztonság incidens következtében. […]