TIA · HYDRA

Cyber Signal

Denní řez z veřejných zdrojů. Neodebíráš to. Ono to prostě vychází.
Bez účtu. Bez e-mailu. Bez sledování.

DNEŠNÍ ŘEZ

4 položek

← 13. 9.14. září 202615. 9. →ARCHIV

◢ Denně 06:00 UTC

SEDM DNÍ

položek za den

12Út

13St

13Čt

14Pá

14So

4Ne

4Po

V DIVOČINĚ

1/ 4

položek hlásí zneužití — ne proof of concept

CO SE NEDOSTALO VEN

99,8 % přečtených záznamů tady není.

▸▸▸

záznamů přečtených ze zdrojů — PŘED filtrem času i duplicit

8 zahozeno pravidlem · 0 zadrženo denním stropem · konfigurace 90E3557B — beze změny od 2026-09-13

Digest nám předává počty, ne zahozené položky — ukazujeme tedy kolik a proč, ne co.

Český text je shrnutí. Zdrojem je článek, na který položka odkazuje — většinou anglicky. Položka označená EN neprošla kontrolou věrnosti překladu a necháváme ji v originále.

📦 NPM EKOSYSTÉM

měřeno 2026-08-12 z veřejných API, ne převzato

02030405060708

V červenci přibylo 4 084 hlášení o škodlivých balíčcích v npm. V ostatních měsících jich bývá kolem 731 — červenec je výkyv, ne trend.

Všech 8 189 hlášení za posledních sedm měsíců má nejvyšší závažnost. Ani jedno nemá spočítané CVSS skóre — u škodlivého balíčku není co skórovat, není to díra v kódu, je to záměr. Kdo je řadí podle závažnosti, dostane 8 189 remíz.

Dosah se ale rozdává extrémně nerovně. Z 354 dohledaných balíčků nemá 67 % ani jednoho závislého — jejich dosah je nula. U zbytku se násobí mediánově 1,95×, a u 7 % z nich třicetkrát a víc. Nejvyšší změřený případ: na engine.io závisí přímo 118, přes strom závislostí 15 865. Průměrná závažnost tuhle nerovnost nevidí vůbec.

Závislosti: měření deps.dev v3alpha dependentCount, JEDEN dodavatel, bez křížového ověření, okno 2026-07. Verze balíčku se vybírá pravidlem zmrazeným PŘED měřením a SLEPÝM vůči naměřené hodnotě — dřívější metoda brala maximum ze šesti verzí, tedy vybírala podle toho, co měla změřit, a nadhodnocovala ocas dvojnásobně. Zesílení není definované u balíčků bez závislých; ty jsou vedené zvlášť jako nulový dosah, ne jako chybějící údaj. A advisories zachycují jen zlomek škodlivých balíčků — tohle je jmenovatel advisories, ne malwaru.

VYDÁNÍ 4 · 7.–13. ZÁŘÍ 2026 · 7 SBĚRNÝCH DNŮ

Terčem nebyly koncové stanice. Byly to konzole.

Sedm sběrných dnů, bez mezer, 77 vydaných položek. Prahem jich za tu dobu prošlo 147 — víc než polovinu zadržel denní strop a na žádnou stránku se nedostaly. Předchozí vydání skončilo u toho, kdo drží záznam. Tenhle týden ukazuje, kde jsou klíče, a co se stane, když se k nim dostane něco, co nemá konec směny.

Co se skutečně pohnulo

7. 9.N-able N-central dostal záplatu na chybu nejvyšší závažnosti uprostřed probíhajících útoků. Je to nástroj, kterým poskytovatelé spravují cizí sítě.
8. 9.Tentýž produkt dostal čtvrtou opravu za pět týdnů. Týž den: podvržení klienti ScreenConnectu podle zprávy roznášeli čtyřstupňový řetěz na nově připojené stroje a zero-day v Adobe Commerce zakládal backdoor v obchodech.
9. 9.Zářijové Patch Tuesday: 966 chyb, dvě zneužívané. A vedle toho číslo, které se záplatami nesouvisí — autonomní agenti podle zprávy kompromitovali tisíce přihlašovacích údajů za necelých šest hodin.
10. 9.SAP opravil chybu jádra s CVSS 10.0 zneužitelnou bez ověření. Cisco potvrdilo zneužívání chyby ve správě firewallů. A v témže řezu: z logů infostealerů se prý dají vytáhnout přehratelné tokeny k AI službám, které obcházejí vícefaktorové ověření.
11. 9.Federální termín na záplaty Cisco, Citrix a Fortinet. NetScaler zneužíván. A dvě věci vedle sebe: útočník na PaperCut podle zprávy použil stovky agentů a dosáhl na více než 440 instancí — zatímco skoro každá desátá veřejně dostupná brána LiteLLM přijala ukázkový administrátorský klíč z vlastní instalační příručky.
12. 9.ConnectWise ScreenConnect: nesprávná správa oprávnění a chybějící autorizace. GitLab s CVSS 10. Chyby v Cisco FMC podle zprávy použity ke krádeži údajů a nasazení ransomwaru Qilin.
13. 9.CISA přidala do katalogu zneužívaných chyb naráz Artifactory, ScreenConnect a RouterOS. Agenti OpenAI byli podle nové zprávy spojeni s kampaní proti RubyGems, která získala RCE na serverech RubyDoc.

Ten posun

Předchozí vydání skončilo u otázky, kdo drží záznam. Tenhle týden odpovídá na jinou: kde jsou klíče. Nejsou na koncových stanicích. Jsou v konzolích — v nástroji, kterým poskytovatel spravuje cizí sítě, v klientovi vzdáleného přístupu, ve správě firewallů, v CI, v repozitáři artefaktů, v bráně před modely.

Druhá polovina týdne říká, co se stane, když se k nim dostane něco, co nemá konec směny. Tisíce přihlašovacích údajů za šest hodin. Stovky agentů na více než 440 instancích.

A ten týden obsahuje obojí naráz: rekordní Patch Tuesday — a zjištění, že skoro každá desátá veřejně dostupná brána k modelům má pořád administrátorský klíč z ukázky v příručce. Strop úsilí i jeho podlaha ve stejných sedmi dnech. Útočníkovi stačí ta podlaha.

položek prošlo prahem a strop je zadržel — víc než polovina všeho, co se kvalifikovaloPět ze sedmi dnů narazilo na publikační strop dvanácti, takže vydaný počet je strop, ne objem. Šest z těch zadržených jsme zpátky dobrali vlastní rezervovanou linkou pro agentní bezpečnost; zbytek zůstal v záznamu. Číslo pochází z našeho vlastního záznamu, ne z nezávislé taxonomie.

Co z toho nevyplývá

Za těchto sedm dnů překročilo práh 147 položek a vyšlo 77 — z toho 72 vybral denní řez a 6 jsme dobrali zpět z položek zadržených stropem; jedna se vyřadila jako doslovné opakování předchozího dne. Zbývajících 75 je v záznamu a na žádné denní stránce se neobjevilo. Bodovací konfigurace se v tomto období změnila dvakrát — běžely tři — takže na rozdíl od minulého vydání nelze tenhle týden považovat za vnitřně srovnatelný ani v číslech. Oblouk výš proto nenese žádná skóre a stojí jen na událostech. Neděle a pondělí jsou navíc strukturálně tenké: sběrné okno čte den PŘEDCHOZÍ, takže víkendový útlum dopadá na pondělní stránku, ne na nedělní — 7. a 13. září proto nesou sedm a čtyři položky, ne dvanáct.

Sedm dnů, sedm stránek. Zadržené položky zůstávají v záznamu.

POZORNOST

KATEGORIE

AI/agent2

msft/identity2

CVE1

cloud/AI-stack Gates: attention_class=RED | publication_severity=YELLOW | classification_divergence.kind=threshold_policy_split1

cloud/AI-stack Gates: attention_class=YELLOW | publication_severity=YELLOW1

crime1

ZDROJE

BleepingComputer1

SecurityWeek1

The Guardian Technology1

The Hacker News1

Třídy pozornosti = kolik pozornosti jsme položce věnovali. Nejsou to verdikty o závažnosti.