امنیت
- یک پتابایت لاگ توی یک آخر هفته
تیم Scanner توی ۸۰ ساعت ۱.۴ پتابایت لاگ CloudTrail رو ایندکس کرد و بعد یه کمپین APT جاسازیشده رو تو کمتر از ۱۰ دقیقه پیدا کرد.
- جعل Client ID در OAuth؛ شمارش کاربران بدون ردپا در لاگ
پژوهشگرهای Proofpoint میگن مهاجمها با جعل شناسهٔ اپلیکیشن در درخواستهای OAuth، حسابهای یک سازمان رو شمارش میکنن بدون اینکه رویداد ورود موفق توی لاگ Entra ID ثبت بشه.
- نشت داده در Medtronic؛ اطلاعات ۳٫۸ میلیون نفر لو رفت
غول فناوری پزشکی Medtronic داره به بیش از ۳٫۸ میلیون نفر خبر میده که اطلاعات شخصی و پزشکیشون تو یه نشت داده لو رفته.
- فایروالی که ابزار تستش زودتر از خودش کم آورد
سیسکو میگه تو تست مستقل NetSecOPEN، ابزارهای سنجش قبل از فایروال ۶۱۶۰ به سقف رسیدن و بازدهی واقعی دستگاه اصلاً اندازهگیری نشد.
- فورتیاندپوینت حالا استفادهٔ کارمندها از ابزارهای AI رو رصد میکنه
فورتینت سه قابلیت تازه به محصول اندپوینتش اضافه کرده: دیدپذیری روی ابزارهای AI، جلوگیری از نشت داده روی خود دستگاه، و یه دستیار برای تیم امنیت.
- Teams حالا یه دربونِ بات داره
مایکروسافت برای جلوگیری از سرزده اومدنِ باتها به جلسات Teams، یه جور «دربون» ساخته که هر بات باید تو لابی منتظر بمونه تا یه آدم تأییدش کنه.
- ریپو-جکینگ تو مارکتپلیس پلاگینهای Claude
چند تا از پلاگینهای اجتماعی Claude Code به آدرس ریپوهایی وصل بودن که مالکشون رفته بود؛ یه محقق نشون داد چطور میشه اون اسمها رو تصاحب کرد.
- ادوبی ۷ آسیبپذیریِ حداکثری ColdFusion رو پچ کرد
ادوبی برای هفت آسیبپذیریِ با شدت حداکثری تو ColdFusion و Campaign Classic وصله منتشر کرد؛ ششتاشون به مهاجم اجازهی اجرای کد از راه دور بدون دسترسی میدن.
- اینفواستیلرها میلیونها دستگاه رو به ماشین دزدیدن رمز عبور تبدیل کردن
تو سال ۲۰۲۵ بیش از ۱۱ میلیون دستگاه به اینفواستیلر آلوده شدن و حالا میلیاردها اطلاعات هویتی تو بازارهای زیرزمینی دستبهدست میشه.
- وصلهکردن دیگه کافی نیست؛ مهار کنید
کریس هیوز میگه اقتصاد حمله زیر پامون عوض شده و هیچ برنامهٔ وصلهای به گرد پاش نمیرسه؛ متغیری که هنوز دست مدافعه، معماریه.
- NSA بعد از محدودیت کاخ سفید، دسترسی به Mythos 5 آنتروپیک رو از دست داد
بعد از اینکه دولت ترامپ صادرات مدل Mythos 5 آنتروپیک رو محدود کرد، بخشهایی از آژانس امنیت ملی آمریکا دسترسیشون به این ابزار پرسروصدا رو از دست دادن.
- UAT-7810؛ گروه چینی که شبکههای رله عملیاتی میسازه
سیسکو تالوس میگه گروه هکری UAT-7810 داره با بدافزارهای جدید شبکههای ORB میسازه تا مهاجمهای دیگه پشتشون قایم بشن و به اهداف مهم حمله کنن.
- Valmis؛ پلتفرم اجرای ایجنتهای AI با محوریت امنیت
Valmis یه پلتفرم متنبازه که ایجنتهای هوش مصنوعی رو تو کانتینرهای ایزوله اجرا میکنه؛ طوری که خود ایجنت هیچوقت به کلیدهای API یا فایلهای میزبان دسترسی مستقیم نداره.
۴ هفته پیش۳ دقیقهgithub.com - حملهٔ XSS از راه هوا: وقتی اسم شبکهٔ وایفای سلاح میشه
یه پژوهشگر امنیتی نشون داده فیلدهای بیخطری مثل اسم شبکهٔ وایفای یا نام گرهٔ LoRa میتونن به مسیر تزریق کد به پنل وب دستگاههای زیرساختی تبدیل بشن.
- Cynative؛ ایجنت تحقیق عمیق روی زیرساخت
یه ابزار متنباز که کد، ابر و رانتایم شما رو مثل یک سیستم واحد میبینه و به سؤالهایی مثل «چی توی ابرم عمومیه که نباید باشه؟» جواب مستند میده — با معماریای که ذاتاً فقطخواندنیه.
- طراحی برای آدمهایی که دیگه به اینترنت اعتماد ندارن
پارسال سهچهارم بزرگسالان بریتانیایی با یه کلاهبرداری آنلاین روبهرو شدن. یه طراح خدمات دولتی میگه وقتی اعتماد کاربر میریزه، حتی یه فرم بد طراحیشده هم میتونه وحشتزدهش کنه.
- آکریتس: ائتلاف بزرگان صنعت برای امن نگه داشتن اوپنسورس
بنیاد لینوکس با AWS، گوگل، مایکروسافت، Anthropic، OpenAI و چند سازمان دیگه ائتلافی به اسم Akrites راه انداخته تا آسیبپذیری پروژههای حیاتی اوپنسورس رو هماهنگ و محرمانه وصله کنه.
- دزدی از رمزارزهای توقیفشده، از داخل زندان
یه پولشوی بلغاری که برای پولشویی میلیونها دلار در آمریکا زندانیه، متهم شده از داخل زندان ۲۹۰ هزار دلار رمزارز توقیفشده رو جابهجا کرده.
- نشت اطلاعات آزمایشگاه Centers؛ ۵۴۲ هزار نفر متأثر
آزمایشگاه تشخیص پزشکی Centers Lab در نیوجرزی تأیید کرده نفوذی که تابستون پارسال کشف شده، اطلاعات شخصی و پزشکی بیش از ۵۴۲ هزار نفر رو لو داده؛ کار گروه اخاذی WorldLeaks بوده.
- aube؛ پکیجمنیجر نودی که اسکریپتهای نصب رو زندانی میکنه
یه پکیجمنیجر تازه برای نود جیاس که با لاکفایل فعلی پروژهت راه میافته، تا ۹۰٪ کمتر دیسک میخوره و اسکریپتهای lifecycle رو تا تأیید نکنی اجرا نمیکنه.
۴ هفته پیش۳ دقیقهaube.jdx.dev
