Nákladné útoky nebývají vždy ty vynalézavé a tento týden toho přinesl dost důkazů. Zasaženy byly vystavené služby, staré chyby našly nové využití, relace prohlížeče se staly cestou útoku a problémy v dodavatelském řetězci se šířily dál než původní kompromitace.

VMware vCenter: domněle čínsky napojený aktér zneužívá zranitelnost a nasazuje ransomware odvozený od Babuku

The Hacker News · CVE · crime · edge-vendor · cvss-critical · code-execution · patch-or-mitigation

Bezpečnostní výzkumníci přisoudili zneužití nedávno opravené zranitelnosti v Broadcom VMware vCenter domnělé čínsky napojené APT skupině.

Snowflake: zranitelnost v GitHub Actions umožňuje spustit command injection přes připravený issue

The Hacker News · crime · supply-chain

Bezpečnostní výzkumníci z Wiz zveřejnili novou zranitelnost typu workflow injection v GitHub Actions ve veřejném repozitáři Snowflake snowflakedb/snowflake-connector-net, která podle nich může být zneužita přes připravený GitHub issue ke spuštění příkazů ve workflow obsahujícím interní přihlašovací údaje k Jiře.

Ray-Project Ray: zranitelnost typu code injection (CVE-2025-62593)

CISA KEV · exploited · CVE · crime · cloud/AI-stack · code-execution · patch-or-mitigation · cisa-kev

Ray-Project Ray obsahuje zranitelnost typu code injection, která může umožnit vzdálené spuštění kódu. Vývojáři používající Ray jako vývojový nástroj mohou být této zranitelnosti vystaveni; je zneužitelná přes Firefox a Safari.

Microsoft: pracuje na záplatě Defenderu pro zero-day ShieldBreak

BleepingComputer · exploited · CVE · msft/identity · patch-or-mitigation

Microsoft pracuje na bezpečnostní záplatě pro zero-day zranitelnost „ShieldBreak“, kterou minulý týden zveřejnil bezpečnostní výzkumník „Nightmare Eclipse“ a která je nyní vedena jako CVE-2026-69414.

GitHub: Microsoft potvrdil celosvětový výpadek

BleepingComputer · supply-chain · msft/identity · cloud/AI-stack

GitHub je pro část uživatelů nedostupný, rozsáhlý výpadek způsobuje chyby na webu, v API, Actions, Pull Requests a několika dalších službách.

Irregular Details How a Naming Error Let AI Models Attack a Real Company

SecurityWeek · AI/agent · cloud/AI-stack

Dobráno ze zadržených denním stropem. Bez redakčního shrnutí.

MCP servery: jak mohou vyzradit firemní tajemství

The Hacker News · AI/agent · agent-security · crime

MCP servery mohou vyzradit firemní tajemství skrze konfigurační soubory v otevřeném textu, nadměrně široká oprávnění a prompt injection, často dřív, než bezpečnostní týmy vůbec vědí, že server běží. S tím, jak více organizací zavádí do svých systémů AI agenty, se toto vystavení může nenápadně stát zásadní mezerou v bezpečnosti MCP serverů.

Forminator: zranitelnost ve WordPress pluginu může umožnit neověřené RCE přes nahrání škodlivých PHP souborů

The Hacker News · CVE · code-execution · unauthenticated

V pluginu Forminator Forms pro WordPress s více než 600,000 aktivními instalacemi byla zveřejněna kritická zranitelnost, která může být zneužita ke spuštění libovolného kódu na náchylných webech. Zranitelnost vedená jako CVE-2026-15748 má hodnocení 9.8 z 10.0 podle CVSS.

SAP Commerce Cloud: kritická zranitelnost zneužita 3 dny po zveřejnění

SecurityWeek · CVE · cloud/AI-stack · code-execution

Zranitelnost vedená jako CVE-2026-58231 může být zneužita ke spuštění libovolného kódu a kompromitaci interních komponent.

GitLab: kritická zranitelnost v GraphQL může umožnit neověřeným útočníkům mazat veřejné projekty

The Hacker News · CVE · supply-chain · cvss-critical · maximum-severity · unauthenticated

GitLab vydal bezpečnostní aktualizace na kritickou zranitelnost ve svém softwaru Community Edition (CE) a Enterprise Edition (EE), která za určitých podmínek může umožnit neověřenému útočníkovi vzdáleně měnit nebo mazat veřejné projekty a uživatelská data.

CISA: přidala do katalogu jednu známou zneužívanou zranitelnost

CISA Advisories · exploited · CVE · patch-or-mitigation

CISA přidala do svého katalogu Known Exploited Vulnerabilities (KEV) jednu novou zranitelnost na základě důkazů o aktivním zneužívání.

Certighost: oprávnění skryté ve vaší certifikační autoritě

BleepingComputer · CVE · identity · patch-or-mitigation

CVE-2026-54121 umožňuje běžnému doménovému uživateli proměnit vaši Enterprise CA v řadič domény. Záplata je ta snadná část; poučením jsou trvale držená oprávnění, implicitní důvěra a chápání PKI jako identitní infrastruktury Tier 0, kterou vždy byla.

Český text je shrnutí. Zdrojem je článek, na který položka odkazuje — většinou anglicky.