N-able می‌گه مهاجم‌ها دارن از یه باگ دور زدن احراز هویت تو پلتفرم مدیریت از راه دور N-central سوءاستفاده می‌کنن؛ هات‌فیکس اومده و نصب فوریش توصیه شده.

یه شمارهٔ خبرنامهٔ روزانه که هم فرار یه مدل از محیط تست امنیتی رو مرور می‌کنه، هم جابه‌جایی‌های بزرگ رهبری تو گوگل و رتبه‌بندی تازهٔ مدل‌های کدنویسی.

۱۰ هفته پیش۳ دقیقهrohan-paul.com

یه ایراد قدیمی توی پیاده‌سازی SCTP کرنل لینوکس که از حوالی ۲۰۰۷ سرجاش بوده، حالا اجازه می‌ده یه کاربر کم‌دسترسی روت بگیره و حتی از کانتینر بزنه بیرون.

یه سایت مخرب می‌تونست از دل مرورگر تور دسترسی مدیر بگیره و هویت کاربر رو لو بده؛ همین باعث شد پروژهٔ Tails نسخهٔ ۷.۱۰.۱ رو خارج از نوبت منتشر کنه.

به جای .env.example که همیشه از دستور خارج می‌شه، یه اسکیمای واحد وسط می‌ذاری که ایجنت کدنویسی می‌تونه کاملاً بخوندش بدون اینکه مقدار سکرت‌ها دستش بیفته.

تیم تحقیقاتی تازه‌تأسیس 1Password شش آسیب‌پذیری جدید رو داد دست دو مدل مرزی و ۶۰۸۰ پچ گرفت؛ فقط ۲۶ درصدشون بدون دستکاری رفتار برنامه مشکل رو حل کردن.

کپی کردن پوشهٔ ماژول روی فایل‌شیر تا یه جایی جواب می‌ده؛ این آموزش نشون می‌ده چطور یه مخزن خصوصی با نسخه‌بندی، امضای دیجیتال و کنترل دسترسی بسازی.

شرکت Arctic Wolf می‌گه جاسوس‌افزاری که سال ۲۰۱۸ در چین دیده شده بود، حالا به یک پلتفرم تجاری با برند و صورتحساب تبدیل شده و روترهای کشورهای عضو ناتو رو هم آلوده کرده.

CISA نقص CVE-2026-18577 در N-central شرکت N-able رو به فهرست باگ‌های در حال سوءاستفاده اضافه کرد و به دستگاه‌های فدرال فقط سه روز مهلت داد تا وصله‌ش کنن.

یه فورک از AppVerifier که امضای اپ‌های نصب‌شده رو با هش‌های اشتراکی، پایگاه دادهٔ داخلی یا پایگاه دادهٔ خودت مقایسه می‌کنه و چند قابلیت تازه اضافه کرده.

یه تحلیل کامل از نسخهٔ لینوکسی باج‌افزار LockBit نشون می‌ده این بدافزار strace رو دور می‌زنه و کل رمزگذاری رو کاملاً آفلاین انجام می‌ده — یعنی تشخیص شبکه‌ای عملاً بی‌فایده‌ست.

محققای Mysk سه راه پیدا کردن که با هرکدوم یه وب‌سایت می‌تونه آی‌پی واقعی کاربر سافاری رو ببینه؛ ماجرا فقط سافاری نیست و همهٔ مرورگرهای پروکسی‌دار روی iOS، حتی مرورگرهای Tor، درگیرن.

یه پروژهٔ متن‌باز، معماری Project Glasswing کلودفلر رو به یه ایجنت اجرایی تبدیل کرده که با اشتراک Claude و بدون کلید API دنبال باگ امنیتی می‌گرده.

یه سرویس فیشینگ اجاره‌ای ماهی ۲۸۹ دلار، ایمیل‌هاش فقط به خاطر اینکه دامنه‌ی RingCentral تو لیست فرستنده‌های امن سازمان بود مستقیم رسید تو اینباکس قربانی‌ها.

یه باگ تزریق SQL بدون احراز هویت توی Metabase، قبل از اینکه وصله بشه، برای نفوذ به داشبوردهای شرکت‌ها استفاده شد؛ Framework و Tally اولین قربانی‌های تأییدشده‌ن.

جاناتان براسار می‌گه دامنهٔ securityfocus.com و نام Bugtraq رو خریده و لیست ایمیلی افسانه‌ای افشای آسیب‌پذیری رو با همون آدرس قدیمی دوباره راه انداخته.

سورس‌کد Cloudflare OS نشون می‌ده این پلتفرم عمداً به ایجنت دروغ می‌گه: عملیات تأییدنشده فقط شبیه‌سازی می‌شن تا خطای مدل به دنیای واقعی نرسه.

تو Black Hat USA 2026 یه محقق مستقل کلاس حمله‌ای رو نشون داد که با دستکاری جدول ردیابی اتصال، به مهاجم هم‌شبکه اجازه می‌ده اتصال فعال رو بدزده یا پاسخ DNS رو مسموم کنه.

از ۱۴ آگوست سشن‌های جدید Claude Code روی پلن‌های Pro و Max و Team با حالت auto بالا میان؛ به جای پرامپت اجازه، یه کلسیفایر جلوی کارهای خطرناک رو می‌گیره.

۱۱ هفته پیش۳ دقیقهclaude.com

peerd یه افزونهٔ مرورگره که یه عامل هوش مصنوعی کامل رو مستقیم داخل کروم یا فایرفاکس اجرا می‌کنه؛ با تب‌ها و نشست‌های خودت کار می‌کنه و هیچ بک‌اند یا سروری وسط نیست.

۱۱ هفته پیش۳ دقیقهgithub.com