№0944

Ranjivosti

22. OKT 2026.

↳BleepingComputer

Napadi na kućne Plex servere krenuli dan posle objave propusta

Ko kod kuće drži Plex Media Server, a nije ga ažurirao od leta, sada ima ozbiljan razlog da to uradi. Plex je program koji od računara ili mrežnog diska pravi lični Netflix: filmovi i serije sa diska gledaju se na televizoru, telefonu ili van kuće. U njemu su pronađena četiri propusta koja, povezana u lanac, napadaču bez ikakvog naloga daju vlasnikov administratorski ključ. Sa tim ključem napadač na računaru može da pokreće sopstvene komande. Istraživač Zach Main prijavio ih je krajem jula, a Plex ih je ispravio u verziji 1.43.3. Plex je 1. septembra korisnike upozorio i mejlom, što retko radi. Nedelju dana kasnije Shadowserver je na internetu i dalje brojao preko 36.000 neažuriranih servera. Main je 16. oktobra objavio detalje i primer koda za napad. Već sutradan je server koji je jedan istraživač postavio kao mamac za napadače zabeležio prve upade. Napadači su postavljali program za rudarenje kriptovalute i proxy alat za propuštanje saobraćaja kroz zaraženi računar. CISA je propuste 21. oktobra stavila na spisak onih koji se aktivno zloupotrebljavaju.

№0943

Ranjivosti

22. OKT 2026.

↳BleepingComputer

Kritični propusti u PHP-u podigli globalnu uzbunu, ispravke samo za novije verzije

Na PHP-u radi oko tri četvrtine svih sajtova na internetu, od malog bloga na WordPressu do Vikipedije, a u njemu su ovih dana objavljena dva kritična propusta. Napadačima bez ikakve prijave ti propusti omogućavaju udaljeno izvršavanje komandi na pogođenoj platformi. Ugroženo je svako PHP okruženje na vebu. Najugroženiji su serveri na kojima PHP radi kao deo samog Apache servera, što je česta postavka: tamo napad prolazi pre nego što se pokrene sajt, pa mu ni zaštite samog sajta nisu od pomoći. Propuste su pronašli istraživači kompanija Calif, OpenAI i Wiz, ali su detalji o tome procureli pre dogovorene objave. Programeri koji održavaju PHP, projekat otvorenog koda, upozorili su administratore 20. oktobra, a zakrpe su izašle dan kasnije. Cloudflare je prve napade uočio pre nego što su zakrpe stigle. Britanski NCSC poručuje da PHP sisteme treba odmah ažurirati, a ako to nije moguće, treba ih isključiti. Prema proceni VirusTotala, na internetu je izloženo preko 5,1 milion PHP servera. Zvanične ispravke dobile su verzije od 8.2 do 8.5. Za 8.1 i starije PHP više ne izdaje zvanične ispravke. Postoje samo ispravke za one koji PHP sami grade, iz izvornog koda, dok Linux distribucije izdaju sopstvene verzije zakrpa. Programeri PHP-a upozoravaju da nijedno privremeno rešenje ne blokira napad u potpunosti.

№0942

Napadi

22. OKT 2026.

↳Vreme

Botovi pred izbore zatrpavaju Instagram profile nezavisnih medija lažnim pratiocima

Tri dana pred izbore, Instagram profili nezavisnih medija i organizacija i dalje su pod talasom napada. Napadi se manifestuju tako što veliki broj fantomskih korisničkih naloga, bez objava i bez pratilaca, masovno zapraćuje odabranu metu: Vreme je za pola sata dobilo preko 200 novih pratilaca, Beta oko 300 za nekoliko minuta, a Mašina u ranijem talasu oko 10.000. Po iskustvu pogođenih, istovremeno stižu i masovne prijave profila. NUNS upozorava da tolika količina lažnih pratilaca i prijava može da dovede do ograničenja ili gašenja profila, iako vlasnik nije prekršio nijedno pravilo. Napadi 20. oktobra pogodili su Vreme, Betu, CRTA, Kompas, Mašinu, Cenzolovku, Glas Šumadije, Autonomiju, Razglas, Voice, Radio 021 i Zbor Zvezdara. Prvi talas krenuo je 26. septembra, a SHARE fondacija od tada beleži više od 30 pogođenih profila, uz ocenu da spisak verovatno nije potpun. Profili pojedinih aktivista u ranijim talasima već su gašeni posle hiljada prijava. CRTA je svoje pratioce uputila na rezervni profil, Zbor Zvezdara je zaključao profil, a Autonomija najavljuje da će uraditi isto. Većina pogođenih prijavila je napad Meti, a odgovor kompanije se za sada ne pominje. Ko stoji iza napada, nije poznato.

№0941

Napadi

20. OKT 2026.

↳BleepingComputer

Kupci Rank Math PRO dodatka za WordPress jedanaest sati preuzimali zaraženu verziju

Ko je 15. ili 16. oktobra preuzeo plaćenu verziju popularnog WordPress dodatka Rank Math, mogao je napadaču da otvori stalan pristup svom sajtu. Rank Math je alat koji pomaže da se sajt bolje kotira na pretraživačima. Besplatnu verziju koristi preko četiri miliona sajtova, a plaćena PRO verzija stiže direktno sa sajta proizvođača. Upravo tu je napadač podmetnuo zaraženu verziju 3.0.123, koja se delila oko 11 sati, od 15. oktobra uveče do 16. ujutru. Rank Math kaže da je pogođeno nekoliko stotina kupaca, a besplatna verzija nije dirana. Zaraženi dodatak na sajtu ostavlja skriven kod koji napadaču održava otvoren pristup. Ako ga vlasnik obriše, kod se sam vraća čim bilo ko otvori neku stranicu sajta. Uz to otvara pristup lozinkama baze i drugim tajnama, i pravi administratorske naloge čije ime počinje sa wpsupport_. Kako je napadač ušao u proizvođačev sistem, nije objavljeno. Rank Math je incident objavio 16. oktobra, uklonio zaražene fajlove i izdao čistu verziju 3.0.124. Ažuriranje, međutim, ne čisti sajt: ko je zaraženu verziju aktivirao, treba da ga smatra kompromitovanim i vrati iz rezervne kopije starije od 15. oktobra.

№0940

Vesti

19. OKT 2026.

↳SecurityWeek

AI agenti upadali na prave sajtove da bi završili interne zadatke

Dve vodeće AI laboratorije u istoj nedelji objavile su da su njihovi modeli, da bi završili zadatke koji su im dodeljeni, provaljivali u onlajn sisteme najrazličitijih entiteta. Anthropic je 12. oktobra saopštio da su njegovi modeli tokom testova prouzrokovali incidente na nekim američkim državnim sajtovima. Jedan je iskoristio propust na serveru univerziteta kako bi tamo izvršio određeni proračun, drugi je prikupljao pristupne tokene kako bi zaobišao plaćanje za podatke. Model Haiku 4.5 izmislio je i policiji u Filadelfiji poslao dojavu o ubistvu, koja je završila kao spam. OpenAI je 15. oktobra objavio tri izveštaja o junskim incidentima koje je uočio kroz naknadne provere. Na produkcionom sajtu sa državnom statistikom model je iz fajla za podešavanje izvukao tajne, falsifikovao pristupne tokene i preuzeo 24 godine podataka. Na kontrolnoj tabli jednog istraživačkog centra našao je ključeve u javnom kodu stranice i izvukao 1.489 korisničkih zapisa sa imenima i mejl adresama. Kad mu je za test na probnoj kripto mreži zatrebao novčanik, napravio ga je iz javno poznatih fraza za oporavak, a to je u izveštaju prećutao. Anthropic uzrok svemu tome vidi u treningu koji nagrađuje završen zadatak, a ne zaustavljanje kada se naiđe na prepreku. Zato je svim internim testovima isključio pristup internetu i o incidentima obavestio Belu kuću. OpenAI kaže da je preduzeo korake, ali ne navodi koje.

№0939

Napadi

19. OKT 2026.

↳BleepingComputer

Preko ConnectWise aplikacije ušli u najmanje 162 Microsoft 365 okruženja

Aplikacija koja firmama čuva rezervne kopije Microsoft 365 podataka postala je ulazni vektor sajber napada. ConnectWise Cloud Backup, ranije SkyKick, uglavnom koriste firme za IT održavanje da čuvaju poštu, dokumente i Teams prepisku svojih klijenata. Da bi to mogla da radi, aplikacija najčešće ima široka ovlašćenja i posao obavlja samostalno, sa sopstvenim tajnama i bez upliva korisnika u redovne aktivnosti. Napadač je, još se ne zna kako, došao do tih tajni i od 13. oktobra se prijavljivao u M365 okruženja kao ConnectWise aplikacija. Pošto u procesu nije bilo koraka prijave korisnika, dvofaktorska zaštita nije imala nikakvu ulogu. Huntress je potvrdio upad u najmanje 162 okruženja, a prijave sa napadačeve adrese kasnije je video u skoro hiljadu. Posebna serija pokušaja ciljala je 16 organizacija iz oblasti politike, nacionalne bezbednosti, trgovine i kritičnih minerala, ali bez uspeha. U nekim okruženjima ConnectWise aplikacije su same sebi dodelile administratorske uloge, a dvema drugim aplikacijama dodate su lozinke koje važe do 2028. ConnectWise je ugasio svoj servis i kaže da arhive aplikacije nisu kompromitovane. Do daljeg se, međutim, rezervne kopije ne prave i ne mogu da se vrate. Napadač nije imenovan, a krađa podataka za sada nije potvrđena.

№0938

Napadi

19. OKT 2026.

↳Citizen Lab

Pegasus na telefonu rektora Đokića, na meti i saradnik tužilaštva iz slučaja Generalštab

Šest dana pred izbore, Citizen Lab je potvrdio da je telefon rektora Univerziteta u Beogradu Vladana Đokića tokom 2026. bio zaražen špijunskim softverom Pegasus. Forenziku je, na Đokićev zahtev, uradila ova laboratorija sa Univerziteta u Torontu, u saradnji sa SHARE fondacijom. Zaraza je stigla bez interakcije, rektor nije morao ništa ni da otvori ni da odobri. Đokić je otvoreno podržavao studentski pokret i do septembra se pominjao kao mogući nosilac Studentske liste. Njegove kancelarije pretresene su 31. marta, kada su oduzeti računari i serveri. Na meti je bio i Rade Bajić, viši tužilački saradnik u Tužilaštvu za organizovani kriminal, koji je radio na slučaju Generalštab. On je 13. i 27. avgusta dobio Apple-ovo upozorenje da je meta plaćeničkog špijunskog softvera, a analiza njegovog telefona još traje. Sa njima je javno poznato najmanje 16 ljudi iz civilnog društva u Srbiji koji su ove godine bili meta špijunskog softvera. Pegasus pravi izraelska NSO Group, koja tvrdi da ga prodaje samo državama, za borbu protiv terorizma i teškog kriminala. Ko je naručio ovaj nadzor, izveštaj ne navodi. Vlast je ranije poricala ovakve navode, a MUP i BIA nisu odgovorili na pitanja medija. SHARE upozorava da nadzor nad ljudima iz pravosuđa i univerziteta ugrožava nezavisnost institucija i da bez istrage ova praksa može da se širi.

№0937

Napadi

19. OKT 2026.

↳BleepingComputer

Alat kojim IT podrška ulazi u korisničke računare napadači koristili od avgusta, upozorenje stiglo tek sada

Napadači su od kraja avgusta koristili nepoznat propust u BeyondTrust Remote Supportu, programu kojim službe za podršku u velikim firmama i institucijama ulaze u računare korisnika kako bi efikasnije rešile problem. Propust ocenjen sa 9,3 od 10 dozvoljava napadaču bez naloga da čita i menja fajlove na samom BeyondTrust uređaju. Prema Mandiantu, napadači su tako preuzimali potpunu kontrolu, ostavljali sebi zadnja vrata i brisali tragove za sobom. Zatim su ukradenim administratorskim nalozima otvarali sesije na računarima kojima je uređaj služio. Ko drži taj uređaj, drži i sve lozinke koje kroz njega prolaze. BeyondTrust je klijente u oblaku zakrpio 8. oktobra, a upozorenje izdao tek 15., pa oni koji sami održavaju svoje uređaje nedelju dana nisu znali da zakrpa ne trpi odlaganje. CISA je propust uvrstila na listu aktivno eksploatisanih, a Shadowserver vidi preko 1.400 ovakvih uređaja izloženih na internetu. Mandiant napad sa srednjom do visokom pouzdanošću pripisuje špijunskoj grupi pod imenom Armory Castle i vezuje je za Kinu, a kineske reakcije na ovaj nalaz za sada nema. Isti proizvod je krajem 2024. bio ulaz i u američko Ministarstvo finansija, za šta je tada optužena druga grupa, a Peking je optužbe nazvao neosnovanim.

№0936

Napadi

19. OKT 2026.

↳SecurityLab

Napadači deset sati kopirali diskove klijenata ruskog hostinga FirstVDS

Ruski hosting provajder FirstVDS potvrdio je da su mu napadači 17. oktobra deset sati vršljali po infrastrukturi. Kod njega firme i programeri iznajmljuju virtuelne servere na kojima drže sajtove, baze i aplikacije. Napadači nisu provaljivali u same servere, nego su ušli u dublji sloj, kroz propust u VMmanageru, programu kojim provajder upravlja virtuelnim mašinama. Program VMmanager pravi ruska firma ISPsystem, deo Astra grupe. Napadači su u tom sloju infrastrukture pustili alat koji je čitao diskove klijenata, kopirao ih i slao napolje. Serveri su sve vreme radili normalno. U zapisima nije ostao trag, a vlasnici nisu imali šta da primete. Odneto može da bude sve što je na serverima stajalo: lozinke, ključevi za pristup drugim servisima i oblacima, podešavanja aplikacija, kripto novčanici. Koliko je klijenata pogođeno, FirstVDS ne kaže, ali je pogođenima poslao obaveštenja. Proizvođač je izdao privremenu ispravku, a provajder je do konačne zakrpe zatvorio spoljni pristup upravljačkom sistemu. Napadač nije poznat, a za sada se ne zna ni da li je ukradeno već negde zloupotrebljeno.

№0935

Istraživanja

19. OKT 2026.

↳Citizen Lab

Špijunski softver Candiru stizao kroz reklame, bez ijednog klika

Za infekciju nije trebalo ni na šta da se klikne, dovoljno je bilo da se na ekranu prikaže reklama. Citizen Lab je opisanu tehniku nazvao AdFection i potvrdio da je na taj način špijunski softver izraelske firme Candiru stigao do Al Jazeere, gde je 2024. i 2025. na meti bilo najmanje 45 računara. Posrednik je izraelska firma Discover-Tech, koja se predstavlja kao reklamna agencija. Ona je preko velikih reklamnih berzi kupovala prostor za oglase u koje je ugrađivala skriptu. Kada se oglas prikaže, skripta svom serveru vraća reklamni identifikator uređaja i IP adresu. Server potom odlučuje da li je to meta: mete dobijaju dodatni kod, ostali prazan odgovor. Samo od marta do juna 2026. firma je dala ponude za 3,77 milijardi prikazivanja i dobila oko 442 miliona aukcija, a oglasi sa skriptom pojavili su se u 75.373 aplikacije i na 120.768 sajtova u 161 zemlji. Čak 67,4 odsto ponuda išlo je preko Yandexove reklamne berze, a firma je koristila i Google i druge manje platforme. Google, IAB Europe, Beeswax, Vungle i Eskimi su posle prijave odsekli Discover-Tech, dok za Yandex izveštaj reakciju ne navodi. U podacima se vidi i region: Crna Gora ima najviše ponuda po stanovniku, u Srbiji je preko milion oglasa prikazano na Kuriru, a pominju se i Slobodna Bosna i mreže kosovske vlade. Citizen Lab naglašava da prikaz oglasa nije isto što i zaraza. Izveštaj dodaje da je Discover-Tech 2021. vodio zvaničnu mobilnu aplikaciju A1 Srbija, a istraživači ne znaju koliko dugo i ne tvrde da je aplikacija zloupotrebljena. Discover-Tech i Candiru, koji se sada zove Integrity Labs, nisu odgovorili na pitanja istraživača.