اپل داره توی iOS 27 یه قابلیت جدید به اپ Wallet اضافه می‌کنه که بهت اجازه می‌ده پاس‌های دیجیتال شخصی‌سازی‌شده بسازی. با این ویژگی می‌تونی بلیت سینما، کارت عضویت باشگاه، کارت هدیه و هر چیز مشابهی رو اسکن کنی و تبدیل به یه پاس دیجیتال کنی. این قابلیت برای مواردی طراحی شده که با Wallet سازگار نیستن و شکاف بین پاس‌های فیزیکی و دنیای دیجیتال رو پر می‌کنه.

مایکروسافت رسماً تأیید کرده که آپدیت امنیتی آوریل ۲۰۲۶ ویندوز باعث خرابی نرم‌افزارهای بکاپ می‌شه. مشکل از اینجاست که درایور psmounterex.sys به دلیل یه آسیب‌پذیری بحرانی (CVE-2023-43896) به بلاک‌لیست درایورهای آسیب‌پذیر ویندوز اضافه شده. نرم‌افزارهایی مثل Macrium Reflect، Acronis، UrBackup و NinjaOne Backup که برای مانت تصاویر بکاپ از این درایور استفاده می‌کنن، با خطا و تایم‌اوت VSS مواجه می‌شن. مایکروسافت توصیه می‌کنه آپدیت رو حذف نکنید و به جاش به آخرین نسخه نرم‌افزار بکاپ مربوطه آپگرید کنید.

Sn1per یه پلتفرم امنیت تهاجمی‌ه که از سال ۲۰۱۵ توسط پنتسترها ساخته شده و ریکان، اسکن آسیب‌پذیری، اکسپلویت و گزارش‌دهی رو توی یه محیط واحد جمع کرده. نسخه ۲۰۲۶ حالا با دیپلوی Docker-first، رابط کاربری Bootstrap 5، داشبورد جدید، و JSON API v1.0 اومده. این ابزار بیش از ۹۰ ابزار شخص ثالث رو هماهنگ می‌کنه، ۶۰۰+ اکسپلویت و ۱۰،۰۰۰+ دیتکشن داره و بیش از ۵۰۰ تیم ازش استفاده می‌کنن. نسخه Community رایگانه و نسخه‌های حرفه‌ای و Enterprise هم برای تیم‌های بزرگ‌تر در دسترسن.

reconFTW یه ابزار قدرتمند و خودکار برای Reconnaissance (شناسایی اولیه) هست که مخصوص محققان امنیتی و تسترهای نفوذ طراحی شده. این ابزار با طراحی ماژولار، از صدها تکنیک مثل کشف ساب‌دامین، اسکن آسیب‌پذیری، OSINT و فازینگ پشتیبانی می‌کنه. reconFTW با ابزارها و API‌های متنوعی ادغام شده و حتی از اسکن توزیع‌شده با AX Framework هم پشتیبانی می‌کنه. این پروژه برای استفاده قانونی و مسئولانه در چارچوب تست نفوذ با مجوز طراحی شده.

بر اساس گزارش آنالیست مشهور Ming-Chi Kuo، اوپن‌ای‌آی داره با سرعت بیشتری روی اولین گوشی هوش مصنوعی‌اش کار می‌کنه و هدف جدید، تولید انبوه در نیمه اول ۲۰۲۷ه. پردازنده اصلی این دستگاه احتمالاً نسخه سفارشی‌شده Dimensity 9600 از MediaTek خواهد بود که روی نود N2P شرکت TSMC ساخته می‌شه. این گوشی دو پردازنده اختصاصی هوش مصنوعی خواهد داشت که وظایف مختلف مثل بینایی و پردازش زبان رو به‌صورت همزمان مدیریت می‌کنن. اوپن‌ای‌آی با این محصول می‌خواد هم داستان جذابی برای سرمایه‌گذاران IPO داشته باشه، هم در رقابت

۲۴ هفته پیشmacrumors.com

سازمان بهداشت ملی بریتانیا (NHS) دستور داده تمام ریپوهای عمومی گیت‌هاب‌شون تا ۱۱ مه به حالت خصوصی تغییر پیدا کنن. دلیل اصلی، نگرانی از مدل‌های پیشرفته هوش مصنوعی مثل Mythos شرکت آنتروپیکه که می‌تونن کدها رو به‌صورت گسترده بخونن و آسیب‌پذیری‌ها رو شناسایی کنن. NHS این اقدام رو موقتی توصیف کرده و گفته در طول این مدت وضعیت امنیت سایبری‌شون رو تقویت می‌کنه. بعضی از متخصصان اما می‌گن این تصمیم تأثیر عملی چندانی نداره، چون کدها سال‌هاست برای آموزش مدل‌های هوش مصنوعی ایندکس و آرشیو شدن.

یه شرکت موفق شده نورون‌های انسانی رو در آزمایشگاه پرورش بده و بهشون یاد بده که DOOM بازی کنن. نویسنده که سال‌هاست توی حوزه هوش مصنوعی کار می‌کنه، از این موضوع عمیقاً ناراحته — نه به‌خاطر فناوریش، بلکه به‌خاطر سؤالی که جوابش رو نمی‌دونیم: آیا این نورون‌ها «چیزی احساس می‌کنن»؟ ما LLMها رو از داشتن آگاهی کنار گذاشتیم چون فقط توکن پیش‌بینی می‌کنن، ولی نورون‌های بیولوژیکی انسان داستان دیگه‌ایه. ۲۰۰ هزار نورون از یه کرم یا عروس دریایی بیشتره — پس خط قرمز دقیقاً کجاست؟

۲۴ هفته پیشkuber.studio

Cross-Session Activation (CSA) یه تکنیک پیشرفته‌ست که از COM/DCOM ویندوز سوءاستفاده می‌کنه و به مهاجمانی که دسترسی ادمین دارن اجازه می‌ده کد رو زیر کانتکست یه کاربر دیگه در سشن تعاملیشون اجرا کنن. این روش به‌خاطر سطح حمله گسترده‌ای که COM objects دارن، برای تیم‌های دفاعی خیلی چالش‌برانگیزه. ابزارهایی مثل PermissionHunter، ComDiver و SessionHop برای شناسایی و بهره‌برداری از این آسیب‌پذیری‌ها منتشر شدن. سازمان‌ها باید استراتژی تشخیص خاص خودشون رو برای این تکنیک طراحی کنن.

گوگل برنامه‌های جایزه‌ی آسیب‌پذیری (VRP) برای اندروید و کروم رو به‌خاطر موج استفاده از ابزارهای هوش مصنوعی در کشف باگ‌ها بازطراحی کرده. جایزه‌ی اکسپلویت zero-click روی Pixel Titan M از یک میلیون به ۱.۵ میلیون دلار رسیده، اما در مقابل پرداختی‌های پایه‌ای کروم تا ده برابر کاهش پیدا کردن. دلیل اصلی اینه که ابزارهای AI تولید گزارش‌های طولانی رو خیلی ساده کردن و گوگل حالا می‌خواد روی گزارش‌های کوتاه و عملی با اثبات واقعی وجود باگ تمرکز کنه. با این حال، گوگل انتظار داره مجموع پرداختی‌هاش در ۲۰۲۶ از رک

Laravel Chronicle یه پکیج لاراول هست که به جای نوشتن ساده ردیف‌های لاگ در دیتابیس، یه زنجیره هش رمزنگاری‌شده با SHA-256 می‌سازه. هر رکورد جدید شامل هش رکورد قبلی‌شه، پس اگه کسی حتی یه ورودی رو ویرایش یا حذف کنه، زنجیره می‌شکنه و Chronicle بهت خبر می‌ده. علاوه بر این، می‌شه در لحظه‌های مشخص چک‌پوینت امضاشده ثبت کرد یا کل دفتر لاگ رو به صورت یه دیتاست مستقل و قابل تأیید export کرد. این پکیج برای سیستم‌هایی که نیاز به لاگ‌های حسابرسی قابل اعتماد دارن، مثل گردش‌کارهای انطباق، سوابق مالی یا لاگ‌های ا

۲۴ هفته پیشlaravel-news.com

شرکت فناوری آموزشی Instructure، سازنده پلتفرم معروف Canvas، هدف یک حمله سایبری قرار گرفت که منجر به افشای اطلاعات شخصی کاربران از جمله نام، ایمیل، شماره دانش‌آموزی و پیام‌های خصوصی شد. گروه هکری ShinyHunters مسئولیت این حمله رو به عهده گرفته و ادعا می‌کنه ۳.۶۵ ترابایت داده از اطلاعات ۲۷۵ میلیون نفر رو به سرقت برده. Instructure اعلام کرده هیچ مدرکی از سرقت رمز عبور، اطلاعات مالی یا شناسه‌های دولتی وجود نداره. این شرکت سرویس‌های آسیب‌دیده رو تا روز یکشنبه ۳ مه بازگردانده و اقدامات امنیتی تکمیلی رو

یه کیت فیشینگ جدید به اسم Bluekit کشف شده که امکانات نسبتاً جامعی داره؛ از دستیار هوش مصنوعی گرفته تا ثبت خودکار دامنه و بیش از ۴۰ تمپلیت جعلی برای سرویس‌هایی مثل Gmail، GitHub، Apple ID و Ledger. این ابزار هنوز در مرحله توسعه‌ست و هنوز توی یه کمپین واقعی استفاده نشده، اما محققان Varonis هشدار می‌دن که با سرعت توسعه‌ای که داره، احتمالاً به زودی وارد عملیات‌های فیشینگ واقعی می‌شه. کانال پیش‌فرض استخراج اطلاعات در این کیت، تلگرامه.

Pike Agent یه ابزار متن‌باز برای لینوکسه که رفتار برنامه‌ها رو ضبط و آنالیز می‌کنه. این ابزار از strace برای ردیابی system call‌ها استفاده می‌کنه، اون‌ها رو توی یه دیتابیس SQLite ایندکس می‌کنه و بعد بهت اجازه می‌ده از طریق یه TUI با یه LLM درباره رفتار برنامه چت کنی. می‌تونی ازش بخوای کرش‌ها رو تشخیص بده، race condition پیدا کنه، یا حتی یه پروسه مشکوک رو تریاژ کنه. از مدل‌های محلی مثل llama.cpp و APIهای خارجی مثل Claude و Gemini هم پشتیبانی می‌کنه.

۲۴ هفته پیشgithub.com

گروه باج‌افزاری Qilin که از اواخر ۲۰۲۲ فعاله، در سال‌های ۲۰۲۵ و ۲۰۲۶ بیشترین تعداد قربانی رو در بین همه گروه‌های باج‌افزاری داشته و تا به حال بیش از ۱۷۰۰ سازمان رو به خطر انداخته. یه خطای امنیتی (OPSEC failure) از یکی از وابستگان این گروه در دسامبر ۲۰۲۵ شناسایی شد که دیدی عمیق به عملیات این هکرها داد. این وابسته از آسیب‌پذیری‌های شناخته‌شده در دستگاه‌های VPN شرکت‌هایی مثل WatchGuard و Fortinet برای نفوذ اولیه استفاده می‌کرد و بعد از اون ابزار Sliver رو برای کنترل و فرماندهی روی این دستگاه‌ها مست

WorkOS یه پلتفرم آماده‌ست که بهت کمک می‌کنه قابلیت‌های سازمانی مثل SSO، SCIM، Audit Logs و مدیریت کاربران رو خیلی سریع به اپلیکیشنت اضافه کنی. به جای اینکه ماه‌ها وقت بذاری روی پیاده‌سازی این ویژگی‌ها، با چند خط کد و SDK های آماده می‌تونی شروع کنی. این ابزار از زبان‌های مختلفی مثل Node.js، Python، PHP، Go و جاوا پشتیبانی می‌کنه و یه پنل مدیریتی شیک هم برای IT Admin های مشتریانت داره. در نهایت WorkOS کمک می‌کنه که درهای بازار Enterprise برای محصولت باز بشه بدون اینکه تیمت از مسیر اصلی خارج بشه.

Kaseya یه پلتفرم جدید «ایجنتیک» معرفی کرده که به جای پیشنهاد دادن، خودش کارها رو انجام می‌ده. موتور این پلتفرم «Kaseya Intelligence» نام داره و روی بیش از یک میلیارد تیکت، ۳ اگزابایت داده بکاپ و ۱۷ میلیون اندپوینت آموزش دیده. هدف اصلی این سیستم اینه که MSPها بتونن عملیات IT رو بدون افزایش متناسب نیروی انسانی مقیاس‌پذیر کنن. Kaseya می‌گه این یه تغییر معماری بنیادیه، نه فقط یه فیچر هوش مصنوعی اضافه‌شده.

۲۴ هفته پیشitpro.com

یه گروه هکتیویست به نام «Islamic Cyber Resistance in Iraq 313 Team» مسئولیت یه حمله DDoS گسترده علیه اوبونتو و شرکت سازنده‌اش کنونیکال رو به عهده گرفته. این حمله باعث شده کاربرا نتونن آپدیت‌های سیستم رو دریافت یا نصب کنن و چندین وب‌سایت اوبونتو و کنونیکال هم از دسترس خارج شده. حمله بیش از ۲۰ ساعت ادامه داشته و کنونیکال تأیید کرده که زیرساخت وبش زیر یه حمله فرامرزی و پایدار قرار داره. مهاجما از یه سرویس DDoS اجاره‌ای به اسم Beamed استفاده کردن که ادعا می‌کنه می‌تونه حملاتی با قدرت بیش از ۳.۵ تراب

SharkMCP یه سرور MCP هست که رابط برنامه‌نویسی Wireshark یعنی sharkd رو به صورت مجموعه‌ای از ابزارها در اختیار مدل‌های زبانی بزرگ قرار می‌ده. با این ابزار می‌تونی فایل‌های PCAP و PCAPNG رو لود کنی و با زبان طبیعی تحلیلشون کنی. هر فایل PCAP یه پروسه sharkd مجزا داره و جلسه‌ها از هم ایزوله هستن. ابزارهایی برای بررسی پکت‌ها، آمار پروتکل‌ها، مکالمات، جریان‌های VoIP، استخراج آبجکت‌ها و خیلی چیزهای دیگه هم در اختیارته.

۲۴ هفته پیشgithub.com

حملات زنجیره تامین به npm داره بیشتر و خطرناک‌تر می‌شه. Axios با بیش از ۱۰۰ میلیون دانلود هفتگی آخرین قربانی بود. یه مفهوم ساده به اسم «dependency cooldown» می‌تونه جلوی بخش بزرگی از این حملات رو بگیره. ابزارهایی مثل npm، pnpm، Yarn و Dependabot الان این قابلیت رو دارن که نصب پکیج‌های تازه‌منتشرشده رو برای مدت مشخصی به تعویق بندازن.

۲۴ هفته پیشsecuritylabs.datadoghq.com

دیتادگ گزارش جامع «وضعیت DevSecOps 2026» رو منتشر کرده که با تکیه بر داده‌های واقعی هزاران محیط پروداکشن، تصویر دقیقی از وضع امنیت اپلیکیشن‌ها ارائه می‌ده. طبق این گزارش، ۸۷٪ سازمان‌ها آسیب‌پذیری‌های قابل سوءاستفاده در محیط پروداکشن دارن. رانتایم‌های به‌پایان‌رسیده و وابستگی‌های قدیمی از مهم‌ترین عوامل این ریسک به حساب میان. این گزارش به تیم‌های مهندسی و امنیت کمک می‌کنه بدون اینکه سرعت توسعه رو کم کنن، ریسک رو کاهش بدن.