TrueConf Server obsahuje zranitelnost typu vložení kódu, která by mohla neověřenému vzdálenému útočníkovi se síťovým přístupem přes port 4307/TCP umožnit pomocí speciálně upraveného skriptu opustit izolované prostředí a spustit libovolný kód na hostitelském systému.

ThreatsDay: RCE v Gogs 10.0, cesta z workflow n8n ke spuštění kódu, odměna 10 milionů dolarů, zneužití AI GLM-5.3 a další

The Hacker News · AI/agent · code-execution

Velká část problémů tohoto týdne začíná tím, že něco důvěryhodného dělá přesně to, co mělo povoleno. Podepsané ovladače se obracejí proti obraně, legitimní aplikace pomáhají malwaru splynout s okolím a slabá kontrola hlavičky otevírá cestu ke spuštění kódu.

New Cryptographic Context Injection Attack Could Let Web Pages Steal Grok Chat Data

The Hacker News · AI/agent

Dobráno ze zadržených denním stropem. Bez redakčního shrnutí.

MLflow: zranitelnost zneužita ke krádeži cloudových přihlašovacích údajů

SecurityWeek · crime · cloud/AI-stack · credential-secret-harvesting

Chyba kritické závažnosti umožňuje útočníkům odesílat HTTP požadavky na vnitřní koncové body a získávat z nich citlivé informace.

Johnson Controls Simplex Incident Manager: přihlašovací údaje čitelné z paměti

CISA Advisories · CVE · crime · critical-infra/OT · critical-infra-disruption · patch-or-mitigation

Úspěšné zneužití této zranitelnosti by mohlo místnímu útočníkovi s nízkými oprávněními umožnit získat z paměti systému přihlašovací údaje uživatelů (hesla a ověřovací tokeny), což může potenciálně vést k neoprávněnému přístupu k aplikaci a připojeným systémům.

Kaseya: jak mohou poskytovatelé IT služeb zachytit phishing, který projde e-mailovými filtry

BleepingComputer · AI/agent · crime · identity

Umělá inteligence dělá phishingové útoky osobnějšími, přesvědčivějšími a hůř rozpoznatelnými pro tradiční e-mailové filtry. Kaseya popisuje, jak mohou poskytovatelé spravovaných služeb sledovat identitu, e-mail a činnost koncových zařízení, aby zachytili a zastavili útoky, které se dostanou až do schránky.

Zimbra: probíhá kampaň cílená na servery

SecurityWeek · exploited · CVE

Polský CERT Polska zaznamenal zneužívání zranitelnosti CVE-2026-73570 v Zimbra Collaboration.

Citrix NetScaler: u opravené kritické chyby v obcházení ověření se očekává zneužití

SecurityWeek · edge-vendor · unauthenticated · no-user-interaction · auth-bypass · patch-or-mitigation

Vzdálení neověření útočníci by mohli tuto chybu kritické závažnosti zneužít bez jakékoli součinnosti uživatele.

Elementor Pro: chyba může neověřeným útočníkům umožnit nahrát PHP a spustit kód

The Hacker News · CVE · cvss-critical · maximum-severity · code-execution · unauthenticated

Bezpečnostní výzkumníci zveřejnili podrobnosti o kritické chybě v pluginu Elementor Pro pro WordPress, jejíž úspěšné zneužití by mohlo vést ke vzdálenému spuštění kódu. Zranitelnost je vedena jako CVE-2026-32475 a má skóre CVSS 9.0 z 10.0.

Zimbra: kritická chyba pro vzdálené spuštění kódu je nyní aktivně zneužívána

BleepingComputer · maximum-severity · code-execution · urgent-or-active-exploitation

Polský tým CERT Polska varoval, že útočníci začali zneužívat kritickou zranitelnost v Zimbra Collaboration Suite (ZCS).

GitLab: kritická chyba zneužita krátce po zveřejnění

SecurityWeek · CVE · supply-chain · unauthenticated

CVE-2026-19478 lze zneužít bez ověření ke změně nebo smazání veřejných projektů a uživatelských dat.

CISA warns of hackers exploiting critical MLflow vulnerability

BleepingComputer · AI/agent · maximum-severity

Dobráno ze zadržených denním stropem. Bez redakčního shrnutí.

CISA: do katalogu přibyly dvě aktivně zneužívané zranitelnosti

CISA Advisories · exploited · CVE · patch-or-mitigation

CISA přidala do svého katalogu Known Exploited Vulnerabilities (KEV) dvě nové zranitelnosti, a to na základě důkazů o aktivním zneužívání.

Zimbra: útočníci zneužívají chybu v SNMP ke vzdálenému spuštění kódu bez ověření

The Hacker News · exploited · CVE · cvss-high · code-execution · unauthenticated · urgent-or-active-exploitation · patch-or-mitigation

Podle polského týmu CERT Polska je nyní již opravená bezpečnostní chyba v Zimbra Collaboration (ZCS) aktivně zneužívána v reálných útocích.

AI-Generated Exploit Scripts Target Siemens S7 PLCs in U.S. Critical Infrastructure

The Hacker News · AI/agent · critical-infra/OT

Dobráno ze zadržených denním stropem. Bez redakčního shrnutí.

Český text je shrnutí. Zdrojem je článek, na který položka odkazuje — většinou anglicky.