№0901

Napadi

2. OKT 2026.

↳The Record

Provaljen poljski servis za e-fakture

Poljski servis za izdavanje faktura Fakturownia, koji koristi više od 600.000 firmi, potvrdio je 29. septembra provalu na svoje servere. Otkrivena je dan ranije, kroz propust koji kompanija nije detaljnije opisala. Izloženi su podaci o nalozima korisnika i njihovih poslovnih partnera, heševi lozinki, brojevi bankovnih računa i tokeni kojima se servis povezuje sa drugim sistemima. Prema kompaniji, napadač je imao uvid u fakture izdate pre 2023. godine, dok novije fakture i podaci o platnim karticama nisu pogođeni. Fakturownia je povezana sa KSeF-om, poljskim državnim sistemom za e-fakture. Ministarstvo finansija kaže da KSeF nije probijen, a kompanija tvrdi da su bezbedni i sertifikati sa kojima se korisnici prijavljuju. Napadač koji se potpisuje kao Fingerprint javio se sa tvrdnjom da je preuzeo 6 TB faktura, što za sada nije nezavisno potvrđeno. Poljski bezbednosni portal Zaufana Trzecia Strona isti potpis povezuje sa ranijim curenjem iz medicinskog servisa MyDr. Kompanija je zatvorila pristup, podigla nove servere i u procesu je izmene ključeva, lozinki i pristupnih tokena.

№0900

Istraživanja

2. OKT 2026.

↳Google Threat Intelligence Group

Broj objavljenih ranjivosti se za osam meseci udvostručio, AI sve češće pronalazi one najopasnije

Googleova grupa za analizu pretnji (GTIG) objavila je 30. septembra izveštaj o tome kako veštačka inteligencija menja proces pronalaženja i zloupotrebe ranjivosti. U januaru 2026. objavljeno je 5.045 novih, a u avgustu 10.740, dvostruko više. Raste i broj onih koje napadači stvarno koriste: prošle godine u proseku 10,5 mesečno, a od januara do avgusta 2026. po 18 mesečno, ukupno 141, više nego u celoj 2025. Zero-day napada, onih pre nego što zakrpa postoji, bilo je 11 mesečno umesto 8. Među ranjivostima za koje Google procenjuje da ih je pronašao AI, polovina omogućava daljinsko pokretanje programskog koda na ugroženim sistemima, dok je sa tradicionalnim metodama takvih pronalazaka svega četvrtina. Kao primer ubrzanja tempa iskorišćavanja, Google navodi propust u BeyondTrust alatu za daljinski pristup: prva grupa napadača ga je iskoristila samo četiri dana po objavi. Google navodi i drugu stranu brojki: od svih objavljenih ranjivosti, u napadima je viđeno tek 0,23 odsto, otprilike jedna u 431.

№0899

Vesti

2. OKT 2026.

↳Europol

Razbijena ransomver grupa KillSec, za glavnog operatera policija sumnjiči šesnaestogodišnjaka

Policije deset zemalja, uz koordinaciju Europola i Eurojusta, krajem septembra su preuzele infrastrukturu ransomver grupe KillSec. Akciju pod nazivom KillSwitch vodili su policija i tužilaštvo Hamburga, a Europol je rezultate objavio 1. oktobra. Za glavnog operatera grupe istražni organi sumnjiče šesnaestogodišnjaka, uhapšenog u Španiji. Osumnjičeni programer napunio je 18 godina u avgustu, pa je deo dela za koja se tereti navodno počinio kao maloletnik. Ukupno su tri osobe privremeno uhapšene, a pretreseno je osam stanova u Grčkoj, Rumuniji, Španiji i Velikoj Britaniji. KillSec se od 2024. dovodi u vezu sa oko 1.000 napada širom sveta, od kojih je oko 500 za sada potvrđeno kao uspešno, a 70 se odnosi na nemačke organizacije. Grupa je ulazila kroz poznate ranjivosti i loše zaštićene pristupe, naročito skladišta u oblaku, kopirala podatke i pretila da će ih objaviti ako žrtve ne plate otkup. Svoju platformu je iznajmljivala drugima kao jednu od najjeftinijih ransomver usluga, sa kontrolnim panelom i gotovim alatima. Istražni organi navode da je grupa koristila AI za izgradnju i održavanje infrastrukture i za izbor potencijalnih žrtava. Zaplenjeno je pet servera, sajt za objavljivanje ukradenih podataka i više od 110 terabajta podataka žrtava.

№0898

Ranjivosti

2. OKT 2026.

↳Fortinet

FortiMail napadaju kroz šifrovanu poštu

Fortinet je 1. oktobra upozorio da napadači već koriste kritičnu ranjivost u FortiMailu, uređaju koji stoji ispred lokalnog mejl servera kompanije i filtrira poštu pre nego što stigne do korisničkih sandučića. Ranjivost CVE-2026-104286, ocenjena sa 9,8 od 10, omogućava napadaču da bez bilo kakve prijave, sa posebno prilagođenim veb zahtevom, upiše svoje fajlove na uređaj, a time verovatno i preuzme kontrolu nad njim. Propust se nalazi u delu aplikacije za šifrovanu poštu (Identity Based Encryption, IBE). Ta funkcija omogućava da se šifrovan mejl pošalje nekome izvan firme, a primalac ga otvara u pregledaču, na stranici FortiMail servera otvorenoj prema internetu. Pogođene su verzije 8.0.0 i 8.0.1, 7.6.0 do 7.6.6, 7.4.0 do 7.4.8 i cela grana 7.2. Fortinet navodi ispravke u verzijama 8.0.2, 7.6.7 i 7.4.9, ali one u trenutku upozorenja, prema BleepingComputeru, još nisu bile dostupne, a grana 7.2 ispravku neće ni dobiti. Do tada Fortinet savetuje da se IBE isključi ili da se pristup ograniči samo na poverljive mreže. Ko je napadač i od kada traju napadi, Fortinet ne navodi. Američka CISA je ranjivost istog dana dodala na spisak aktivno zloupotrebljavanih i saveznim agencijama dala rok do 4. oktobra da je zatvore i provere da li su serveri već kompromitovani.

№0897

Istraživanja

1. OKT 2026.

↳Truffle Security

Na javnom GitHubu više od pola miliona ključeva koji i dalje rade

Firma Truffle Security, koja pravi alate za pronalaženje procurelih ključeva, objavila je 29. septembra istraživanje o lozinkama i pristupnim ključevima zaboravljenim u javno dostupnom kodu. Pregledala je The Stack v3, kopiju 224 miliona GitHub repozitorijuma, napravljenu za treniranje AI modela i prikupljenu zaključno sa avgustom 2025. U njoj je pronašla 543.699 različitih ključeva i lozinki koje su krajem jula 2026. i dalje omogućavale pristup matičnim sistemima. Polovina njih je starija od dve godine, a najstariji ključ, postavljen u junu 2009, i dan danas radi. Ključeva u programskom kodu je sve više: 2015. ih je bilo 3,72 na milion fajlova, a 2025. prosečno 11,62. GitHub od februara 2024. automatski odbija programski kod u kojem prepoznaje određene vrste ključeva, i za te vrste je procenat curenja opao za oko 53 odsto. Ali 51,8 odsto pronađenih ključeva nisu od vrsta koje zaštitni mehanizam proverava, a to su najpre pristupni podaci za baze podataka i Google API ključevi. Razlika je u tome ko vodi brigu: GitHub i npm procurele tokene sami opozivaju, pa ih radi manje od jedan odsto, dok procureli pristupi Postgres bazama rade u 88 odsto slučajeva, a MongoDB u svim pronađenim uzorcima.

№0896

Ranjivosti

1. OKT 2026.

↳TeamViewer

TeamViewer: onaj koga pustiš u računar može da zaobiđe ograničenja koja si postavio

TeamViewer je 29. septembra objavio ispravke za pet ranjivosti u svom programu za daljinski pristup računaru i pozvao korisnike da ga ažuriraju što pre. Najozbiljnija, CVE-2026-92370 sa ocenom 8,8 od 10, tiče se dozvola koje korisnik postavlja onome ko se kači na njegov uređaj. Kad nekoga puštaš u svoj računar, možeš da mu dozvoliš samo da gleda ekran, ali ne i da upravlja mišem, prebacuje fajlove ili pokreće programe. Zbog ovog propusta, u verzijama pre 15.82 osoba kojoj si odobrio sesiju može prilikom povezivanja da izmeni podešena ograničenja i uradi ono što je zabranjeno, a možda i da pokrene svoj programski kod. Ostale četiri ranjivosti traže da napadač već ima pristup računaru ili da korisnik otvori podmetnut fajl sa snimkom sesije, što može da mu omogući veća ovlašćenja nego što bi trebalo. Ispravke su u verziji 15.82 za Windows, macOS i Linux, a izašla su i ažuriranja za starije grane 15.64, 14.7 i 13.2. TeamViewer kaže da zloupotreba za sada nije primećena.

№0895

Napadi

1. OKT 2026.

↳Microsoft

Zimbra mejl serveri pod napadom: propust isproban pre nego što je bio javno opisan

Microsoft je 30. septembra objavio analizu napada na mejl servere koji rade na Zimbri, otvorenoj platformi za poštu i kalendare koju obično koriste škole, javne ustanove i hosting provajderi. Napadači koriste ranjivost CVE-2026-73570, ocenjenu sa 8,9 od 10. Dovoljno je da serveru pošalju posebno skrojen mejl, i server izvršava komande koje su kroz njega ubačene, bez ikakve prijave. Propust postoji samo ako je instaliran dodatni paket za nadzor servera zimbra-snmp i ako su uključena njegova obaveštenja, što nije podrazumevano podešavanje. Zakrpa je izašla 20. jula, u verziji 10.1.20. Microsoft je već od 28. jula do 7. avgusta uočio dva alata koji isprobavaju da li je propust prohodan, a propust je javno opisan tek 13. avgusta. Poljski CERT je aktivne napade potvrdio sredinom avgusta. Prema Shadowserveru, organizaciji koja skenira otvorene servise dostupne na internetu, onlajn je preko 12.000 Zimbra servera, a više od 270 nosi tragove kompromitacije. U napadima koje je Microsoft pratio, napadači su ostavljali skrivene ulaze na serveru, preuzimali najviša ovlašćenja, pokupili lozinke i ključeve, čitali poštu i pakovali rezervne kopije sandučića za eksfiltraciju.

№0894

Napadi

1. OKT 2026.

↳Microsoft

JadePuffer za sedam minuta napao preko sto skladišta u Azure-u, baze spasla greška napadača

Microsoft je 25. septembra objavio analizu napada koji pripisuje akteru kojeg je Sysdig u julu opisao kao prvi ransomver koji od početka do kraja vodi veštačka inteligencija. Sysdig ga je nazvao JadePuffer, a Microsoft ga vodi pod oznakom Storm-3168. Napad se desio početkom juna, u oblaku jedne organizacije koju Microsoft ne imenuje. Napadač nije koristio naloge zaposlenih, nego dva servisna naloga te kompanije, preko kojih programi pristupaju Azure-u. Prvim je petnaest i po sati mapirao okruženje kroz više od 300 upita. Drugim je za sedam minuta pokušao da obriše više od sto različitih skladišta podataka, i većina brisanja je uspela. Nestali su i trezor sa ključevima i delovi aplikacija. Pokušao je da skine i zaštite koje čuvaju rezervne kopije, ali mu to nije pošlo za rukom. Baze podataka su preživele zato što je za njihovo brisanje koristio verziju komande koju Azure za tu vrstu resursa ne podržava. Pola sata kasnije pokupio je pristupne ključeve preostalih skladišta. Otkup nije tražen, a krađa podataka nije potvrđena. Ključ jednog od dva servisna naloga zaposleni u toj kompaniji je ranije objavio na javnom GitHub issue-u. Tekst je kasnije izmenjen, ali je ključ ostao vidljiv u istoriji izmena. Da je napadač ušao baš tim putem, Microsoft ne može da potvrdi.

№0893

Napadi

30. SEP 2026.

↳ANSSI

Francuska poreska uprava promenila lozinku, napadač iznosio podatke još 16 sati

Francuska agencija za sajber bezbednost ANSSI objavila je 29. septembra izveštaj o tome kako je ovog leta pokradena poreska uprava. U izveštaju se odmah navodi da napad nije bio preterano sofisticiran. Napadač je iz aplikacije za komunikaciju sa građanima izneo podatke o blizu 353.000 privatnih lica i 252.000 firmi. Među podacima su poreski brojevi, adrese, porodično stanje i prijavljeni prihodi. U poresku upravu napadač nije provaljivao, nego se prijavljivao. Imao je u šteku desetine pravih lozinki zaposlenih, od kojih su neke još važile, prikupljanih tri meseca unazad, najverovatnije pomoću infostealera sa računara koje poreska uprava ne kontroliše, pre svega kućnih uređaja. Dva portala kroz koja je ulazio tražila su samo lozinku, bez drugog koraka autentifikacije. Do osetljivih aplikacija stizao je i kroz mrežnu magistralu koja povezuje francuska ministarstva, a ušao je preko kompromitovanog Ministarstva prosvete. Podatke je izvlačio automatski, programom koji je sam otvarao stranu po stranu i kopirao ono što na njoj piše: 11 GB krajem juna i još 3 GB krajem jula, a ta količina i sama eksfiltracija nisu okinule nijedan alarm. Krađa je otkrivena tek 12. avgusta, sedam nedelja od početka krađe, kad se grupa sajber bandita pod imenom Zerobytes o tome pohvalila na hakerskom forumu. Podaci iz katastra odneti su preko zaraženog računara geometra iz privatne firme, pa ni drugi korak autentifikacije nije bio od pomoći jer je kod za potvrdu stizao mejlom. Pariško tužilaštvo je 4. septembra objavilo da su uhapšena dva osumnjičena, od kojih je jedan maloletan.

№0892

Napadi

30. SEP 2026.

↳404 Media

ShinyHunters svoj ultimatum FBI-ju sada zovu „marketinškom kampanjom“

ShinyHunters su ultimatumom zahtevali od FBI-ja da povuče majsko upozorenje u kome piše da grupa pritiska žrtve pretnjama i preuveličava svoja dostignuća. Pred istek roka od nedelju dana sada poručuju da se posle njega neće desiti ništa. Novinarima 404 Media i Hackreada rekli su da ukradene podatke nikad nisu ni nameravali da objave i da je ultimatum bio „marketinška kampanja“. Izjave su, navodno, sročili tako da nigde ne stoji konkretna pretnja. Šteta od upada je, međutim, stvarna. FBI je u internom dopisu, o kojem je pisao New York Times, pošao od toga da su ukradeni lični podaci svih zaposlenih i savetuje ih da na govornoj pošti ne ostavljaju svoje glasove zbog mogućih deepfake manipulacija. Reuters je proverio niz dokumenata iz uzorka koji je grupa podelila novinarima i utvrdio da podaci jesu autentični: u njima se nalaze psihijatrijske procene i medicinski nalazi svojstveni procenama najpoznatijeg federalnog biroa na svetu. Holandska policija je 28. septembra potvrdila da je, još nedelju dana pre upada u FBI, u Amsterdamu uhapsila 24-godišnjaka za koga se sumnja da je jedan od vođa ShinyHunters grupe. Sama grupa, naravno, to negira i odbacuje. Prema FBI-ju, grupa i njeni saradnici su od prošle godine provalili u više od 140 organizacija i naplatili najmanje 70 miliona dolara, a šef sajber odeljenja Brett Leatherman poručio je ostalim njenim članovima: „Vi znate kako da nađete nas, ali i mi znamo kako da nađemo vas.“