Zimbra Collaboration Suite (ZCS) obsahuje zranitelnost typu vložení příkazu operačního systému, která může neověřenému útočníkovi umožnit odeslat speciálně upravené požadavky SMTP a spustit tak libovolné příkazy operačního systému pod účtem uživatele zimbra.

Microsoft Teams: nový škodlivý kód SynkLoader se šíří phishingovou kampaní

BleepingComputer · crime · msft/identity · credential-secret-harvesting

Dosud neznámá rodina škodlivého kódu s označením SynkLoader se šíří phishingovými kampaněmi v Microsoft Teams a krade přihlašovací údaje pomocí falešné zamykací obrazovky.

Nová phishingová sada využívá passkeys k udržení přístupu i po změně hesla

SecurityWeek · crime · identity

Podle výzkumníků dokáže sada iAuthFlow V2 zaregistrovat přístupový klíč (passkey) ovládaný útočníkem, a udržet si tak trvalý přístup i poté, co jsou hesla změněna a aktivní relace zneplatněny.

Microsoft varuje před zneužíváním kritické chyby v Entra ID

BleepingComputer · msft/identity · identity · maximum-severity · patch-or-mitigation

Microsoft opravil zranitelnost s nejvyšší mírou závažnosti v platformě pro správu identit a přístupu Entra ID, která byla zneužita při útocích.

Microsoft opravil kritickou chybu v Entra ID (CVSS 10.0) umožňující vzdálené spuštění kódu

The Hacker News · msft/identity · cvss-critical · code-execution · patch-or-mitigation

Článek byl po zveřejnění doplněn o upřesnění, že tato zranitelnost nebyla zneužita.

Microsoft opravil zneužívanou zranitelnost v Entra ID

SecurityWeek · msft/identity · code-execution · patch-or-mitigation

Celkem bylo vydáno 22 oprav, většina z nich pro zranitelnosti umožňující spuštění kódu, eskalaci oprávnění a únik informací.

Krátce: útok Zombie Card, T-Mobile přeřízl kabel kvůli útočníkům, GitHub odmítá vinu umělé inteligence

SecurityWeek · AI/agent · supply-chain

Další zprávy, které mohly uniknout pozornosti: útok DDoS na Threemu, linuxový botnet Evooo1Bot a certifikace NIST nejvyšší úrovně pro Crypto4A.

GitLab: chyba CVE-2026-19478 je aktivně zneužívána do několika dní od zveřejnění

The Hacker News · exploited · CVE · supply-chain · cvss-critical · unauthenticated

Podle společnosti watchTowr se nově zveřejněná bezpečnostní chyba v GitLabu dostala do aktivního zneužívání během několika dní od svého veřejného oznámení.

Šifrované pokyny obcházejí bezpečnostní pojistky modelů Grok a Gemini

SecurityWeek · AI/agent · cloud/AI-stack

Podle výzkumníků nová technika nazvaná Cryptographic Context Injection ukrývá škodlivé pokyny až do chvíle, kdy jsou dešifrovány uvnitř důvěryhodného prostředí pro vykonávání kódu.

Cisco opravilo devět chyb v Crosswork a Secure Workload, pět z nich s CVSS 10.0

The Hacker News · edge-vendor · cvss-critical · patch-or-mitigation

Cisco vydalo další sadu bezpečnostních aktualizací pro platformy Crosswork a software Secure Workload, a to v rámci pokračující rozsáhlé interní bezpečnostní revize.

CISA přidala do katalogu jednu aktivně zneužívanou zranitelnost

CISA Advisories · exploited · CVE · patch-or-mitigation

CISA přidala do svého katalogu známých zneužívaných zranitelností (KEV) jednu novou položku, a to na základě důkazů o aktivním zneužívání.

npm: 14 podvržených balíčků instaluje linuxová zadní vrátka RedC2 4.0

The Hacker News · AI/agent · supply-chain · critical-infra/OT · malware-control

Bezpečnostní výzkumníci odhalili sadu podvržených balíčků npm, které se vydávají za funkční nástroje pro kalendář a sledování sérií, ve skutečnosti však nenápadně instalují linuxový implantát RedC2 4.0 poháněný umělou inteligencí.

Český text je shrnutí. Zdrojem je článek, na který položka odkazuje — většinou anglicky.