№0967

Ranjivosti

6. NOV 2026.

↳BleepingComputer

Napadači provaljivali u Zyxel svičeve, čak i one zakrpljene

Zyxel svičevi sa zakrpama iz juna i dalje nisu bili zaštićeni. Svič je mrežni razdelnik saobraćaja u koji se uključuju računari, serveri, štampači, IP telefoni i kamere. Kroz njega prolazi sav njihov saobraćaj. Serija GS1900 obuhvata jeftinije upravljive svičeve, namenjene manjim firmama. U junu je Zyxel zakrpio propust kroz koji napadač bez lozinke, preko stranice za podešavanje sviča, može da pokreće komande na samom sviču. Od sredine avgusta grupa sa kineskog govornog područja provalila je u 996 takvih svičeva u 48 zemalja i odnela njihova podešavanja i šifrovane administratorske lozinke. Firma GreyNoise objavila je to 21. septembra i napad pripisala junskom propustu, a američka CISA ga je istog dana stavila na listu aktivno zloupotrebljenih. Nedelju dana kasnije istraživači firme Binarly našli su na serveru napadača i sam alat za napad. Na spisku meta imao je i verzije sa junskom zakrpom, i radio je na zakrpljenom firmveru svih deset modela. Junska zakrpa je dodala proveru, ali napadač je pre nje mogao da pokvari brojač na koji se ta provera oslanja. Zyxel je novi propust potvrdio 11. oktobra, ispravku izdao 22. oktobra, a savet za ranjivost objavio 3. novembra. U njemu se ne pominju ni napadi ni junska zakrpa. Koliko je uređaja provaljeno kroz novi propust a koliko kroz stari, nije poznato. GreyNoise istu ili povezanu grupu vezuje za kampanju Red Heron, koja je ovog leta provaljivala u Gitea servere, i za krađu više od 18.500 zapisa iz WordPress sajtova državnih ustanova i malih firmi.

№0966

Ranjivosti

6. NOV 2026.

↳BleepingComputer

WordPress ranjiv u trenutku ažuriranja, napadači satima vrebaju taj trenutak

U WordPressu je pronađen propust koji otvara pristup sajtu u trenutku ažuriranja platforme. Kad prelazi na novu verziju, WordPress paket se prvo raspakuje u privremeni folder na samom serveru. Do ispravke, ime tog foldera je moglo unapred da se pogodi, a na mnogim serverima folder je dostupan i sa interneta. U tom paketu se nalazi i čarobnjak za prvu instalaciju, stranica koja novom sajtu postavlja pitanje na koju bazu podataka da se poveže. U privremenom folderu čarobnjak ne vidi da je sajt već postavljen, pa odgovara svakome ko ga pozove. Ko stigne prvi, može da ga uputi na svoju bazu i odatle dođe do pokretanja sopstvenog koda na serveru, bez naloga i bez lozinke. Prozor traje nekoliko sekundi, ali se otvara pri svakom ažuriranju, i ručnom i automatskom. Pogođene su sve verzije od 4.7 do 7.1.3. WordPress je propust zatvorio 28. oktobra u verziji 7.1.4, u kojoj se ime privremenog foldera bira nasumično, pa više ne može da se pogodi, a ispravke prenosi i na starije grane. Firma Wordfence, koja štiti WordPress sajtove, dva dana kasnije zabeležila je 62.969 pokušaja takvih napada za 24 sata. Pojedini izvori su manje grupe sajtova proveravali iznova po četrnaest i po sati, čekajući da ažuriranje počne. Američka CISA je propust 3. novembra uvrstila na listu aktivno zloupotrebljenih. Uspešan upad za sada nije javno potvrđen, a ocene se razilaze: WordPress propust vodi kao nizak rizik, Wordfence mu daje 8,1 od 10.

№0965

Napadi

5. NOV 2026.

↳Binance

Kako je opljačkan Binance: 6,3 milijarde dolara preko lažnog razgovora za posao

Binance je objavio kako mu je ukradeno rekordnih 6,34 milijarde dolara. Nije bila u pitanju jedna provala nego kampanja duga pet meseci. U junu je inženjer iz tima koji održava kripto novčanike berze preuzeo zaraženu verziju instalacije razvojnog alata Homebrew. Binance je to otkrio, zamenio mu računar i promenio pristupne podatke. Napadač je, međutim, već saznao čime se taj inženjer bavi i s kim radi. U septembru se drugom inženjeru iste kompanije, preko legitimnog sajta za traženje posla, javlja kontakt koji se predstavlja kao vođa softverskog projekta, zainteresovan za saradnju. Usledila su dva razgovora. Na prvom video pozivu, lažna osoba iz kadrovske službe zainteresovanom inženjeru pokazuje svoj profil na društvenoj mreži, kako bi stekla poverenje. Drugi razgovor je vođen preko aplikacije za dopisivanje, sa „direktorom“ firme koja ne postoji, i završio se zadatkom koji inženjer Binance-a preuzima na službeni računar. Maliciozni kod se pokreće već pri podešavanju projekta, podmeće zaraženu verziju razvojnog alata i otvara vezu ka serveru napadača. Zaštita na računaru nije detektovala pretnju. Dvadesetog oktobra napadač sa tog računara, uz pomoć internog AI alata berze, preuzima kontrolu nad računarima dvojice inženjera. Kako je AI alat tačno iskorišćen, Binance ne objašnjava. Na računaru prvog inženjera ostala je dozvola za postavljanje programa na servere berze, i 29. oktobra uveče napadač sa njom stiže do internog servisa koji potpisuje isplate iz novčanika. Dodatno je iskoristio i jedan od mehanizama Ethereuma, koji mu je omogućio transakcije i nakon što je berza obustavila isplate. Prema Binance-u, oko 2,85 milijardi dolara je zamrznuto ili presretnuto, a 98 odsto ukradenih tokena berza je nadoknadila iz sopstvenih sredstava. FBI napad pripisuje severnokorejskoj grupi TraderTraitor. Severna Koreja to odbacuje, a Kim Jo Džong, sestra Kim Džong Una, optužbu je nazvala „teškom političkom provokacijom“.

№0964

Napadi

5. NOV 2026.

↳BleepingComputer

Posle supermarketa, na meti i hladnjače sa krvnom plazmom

Talas napada na rashladne sisteme stigao je od supermarketa do francuske službe za upravljanje krvnim zalihama. U noći između 1. i 2. novembra, iste noći kada su se kvarili frižideri u prodavnicama širom Evrope, neko je daljinski promenio podešavanja hladnjača u tri objekta te službe, koja se zove EFS. Komore koje se drže na minus 30 stepeni podešene su na plus 110, a menjana su i podešavanja odmrzavanja. EFS u Francuskoj prikuplja krv od davalaca, prerađuje je i raspoređuje bolnicama. U pogođenim komorama čuvali su se krvni proizvodi pre slanja bolnicama, uzorci i zamrznuta plazma, za transfuziju i za proizvodnju lekova. Napadači nisu ušli u sisteme EFS-a, nego kod dobavljača hladnjača. Firma Coolworld potvrdila je da je incident zahvatio njen softver za daljinski nadzor i ograničen broj rashladnih jedinica, i kaže da je propust bio u komponenti drugog proizvođača, van njene direktne kontrole. Podešavanje na 110 stepeni ne znači da je temperatura toliko i porasla. Alarmi i tehničar primetili su promenu brzo, deo opreme je vraćen pod kontrolu, a proizvodi iz ostalih komora prebačeni su u druge hladnjače. Prema EFS-u i francuskom ministarstvu zdravlja, nijedna kesa krvi ni plazme nije izgubljena, a snabdevanje bolnica nije prekinuto. Da li su napadači stigli istim putem kao u supermarkete, za sada nije utvrđeno. Drugi talas napada na prodavnice se u međuvremenu proširio, pa su slučajevi potvrđeni i u Finskoj, Nemačkoj, Portugalu i Rumuniji. Šef britanskog NCSC-a Richard Horne kaže da zna za „par slučajeva“ i u britanskom lancu snabdevanja hranom.

№0963

Ranjivosti

4. NOV 2026.

↳BleepingComputer

Ivanti zakrpio ostatak lanca kojim napadači preuzimaju njegove VPN uređaje

Ivanti je zakrpio i preostala dva propusta iz lanca kojim napadači od početka oktobra preuzimaju njegove VPN uređaje Connect Secure. To znači da oktobarska zakrpa nije bila dovoljna, i da je uređaj ažuriran tada i dalje ranjiv. Connect Secure stoji na granici mreže i kroz njega zaposleni sa udaljenih lokacija ulaze u firmu. Lanac smo opisali pre tri nedelje: napadač, koga firma Volexity označava kao UTA0576, spaja tri propusta i preuzima potpunu kontrolu nad uređajem, bez naloga i bez ikakve greške korisnika. Ivanti je 13. oktobra zakrpio prvu kariku, zaobilaženje prijave, jer je ona glavni ulaz. Ostale dve, dizanje privilegija i postavljanje fajlova na uređaj, čekale su do 29. oktobra. Ivanti objašnjava da nije hteo da odlaže zaštitu od glavnog puta napada dok se spremaju ostale ispravke. Prvi znaci napada, prema firmi Defused, vide se od 1. oktobra. Napadač na uređaju ne ostavlja nikakav program, nego za svaku komandu ponovo otvara vrata i briše tragove iz logova, pa Ivantijev alat za proveru takav upad verovatno neće otkriti. Posle upada napadač je krao lozinke za mrežu firme i tražio ključeve za otključavanje šifrovanih diskova. Volexity sa srednjom pouzdanošću procenjuje da je napadač za razvoj napada koristio velike jezičke modele. CISA je oba nova propusta 30. oktobra uvrstila na listu aktivno zloupotrebljenih, a saveznim agencijama za jedan od njih naložila i forenzičku proveru. Shadowserver vidi više od 5.000 ovakvih uređaja izloženih na internetu.

№0962

Napadi

3. NOV 2026.

↳Sport Vision i Legend

Džeparoši na društvenim mrežama: Sport Vision i Legend upozoravaju na lažne veb prodavnice i promocije

Dve poznate firme sa prodavnicama širom Srbije izdale su za dve nedelje slično upozorenje: neko se na društvenim mrežama predstavlja kao oni i nema dobre namere. Sport Vision, jedan od najvećih prodavaca sportske opreme u regionu, od 19. oktobra na svom sajtu prikazuje obaveštenje da se neovlašćena lica na društvenim mrežama predstavljaju kao ta kompanija i nude njenu robu po promotivnim cenama. Prema obaveštenju, cilj je prikupljanje ličnih podataka kupaca, kao i podataka sa njihovih platnih kartica. Brend odeće Legend objavio je 3. novembra da su uočene lažne internet prodavnice koje koriste njegovo ime, izgled, fotografije proizvoda i reklamni materijal. Takve stranice, kaže Legend, mogu da budu pokušaj prevare i krađe ličnih i finansijskih podataka. Legend nema pristup porudžbinama i uplatama napravljenim preko lažnih stranica, pa robu ne može da isporuči i novac ne može da vrati. Ko je već platio, treba da sačuva prepisku, javi se banci i prijavi slučaj policiji. Obe firme kažu da su prave veb prodavnice samo na njihovim zvaničnim adresama, a Legend posebno naglašava da se adresa sajta proverava kada se u prodavnicu ulazi preko oglasa ili objave na mrežama. Koliko je ljudi prevareno, za sada nema navoda.

№0961

Vesti

3. NOV 2026.

↳Nextgov/FCW

Američke savezne agencije moraju da uklone Acronis do 27. januara

Američko Ministarstvo unutrašnje bezbednosti naložilo je svim civilnim saveznim agencijama da do 27. januara uklone softver švajcarske firme Acronis i da ga više ne kupuju, ni direktno ni preko posrednika. Acronis pravi alate za backup, oporavak i zaštitu podataka, pa odluka pogađa softver koji u mreži obično ima najširi pristup. U naredbi, potpisanoj 31. jula a objavljenoj 30. oktobra, stoji samo da Acronisovi alati imaju privilegovan pristup sistemima i da zato predstavljaju značajan rizik. Širu sliku dali su bivši američki zvaničnici, koji su za Nextgov rekli da se provera vodi još od prve Trampove administracije. Zanimalo ih je da li ruski programeri i dalje rade na kodu i da li je firma dovoljno smanjila rizik u lancu snabdevanja. Konkretne dokaze nijedan od njih nije naveo, a naredba se poziva na dokaze koji nisu objavljeni. Acronis je osnovan 2003. u Singapuru, a sedište je danas u Švajcarskoj. Razvoj se godinama oslanjao na inženjere u Moskvi, a kod je licenciran zasebnoj ruskoj firmi, koja ga je prilagođavala ruskim državnim standardima šifrovanja i prodavala ministarstvima i državnim preduzećima. Posle invazije na Ukrajinu 2022. Acronis je obustavio rad u Rusiji i preselio inženjere u Bugarsku, Singapur i Izrael. Švedski investicioni fond EQT preuzeo je 2025. većinski paket, a suosnivač Serguei Beloussov povukao se iz uprave. Kompanija kaže da više od 75 odsto akcija drže zapadni investitori, da je preuzimanje odobrio američki komitet za strana ulaganja CFIUS i da odluka ne utiče na njene klijente i partnere. Obavezujuća je samo za savezne agencije.

№0960

Napadi

3. NOV 2026.

↳SecurityLab

Ruski hoster Beget izgubio podatke klijenata, uključujući i rezervne kopije

Napadači su u noći između 1. i 2. novembra ušli u sistem iz koga se upravlja celom infrastrukturom Begeta, jednog od najvećih ruskih hosting provajdera, i tamo pokrenuli skripte za brisanje podataka. Na Begetu radi oko 334.000 ruskih sajtova, otprilike svaki sedmi, pa se pad uočio odmah: preko noći su prestali sa radom sajtovi kompanija, onlajn prodavnice, a među njima i informativni sajt Čestnog znaka, državnog sistema za označavanje robe. Beget je prvo prijavio „veliki incident“, a 3. novembra objavio razmere štete. Svi podaci u oblaku, na iznajmljenim virtuelnim serverima, u skladištima fajlova i okruženjima za aplikacije, potpuno su izgubljeni. Izgubljene su i rezervne kopije virtuelnih servera, kao i podešavanja mreže. Preživele su rezervne kopije na nivou fajlova, ali ni do njih klijenti za sada ne mogu da dođu, jer se više od hiljadu servera još uvek ručno proverava na prisustvo malicioznog koda. Za klasičan deljeni hosting, gde sajtovi više korisnika dele isti server, Beget procenjuje da može da vrati skoro svaki sajt. Domeni su, kako kaže, bezbedni, a mejl servis je oporavljen oko 80 odsto. Kompanija tvrdi da nema znakova da su podaci klijenata preuzeti ili izmenjeni, ali savetuje da se promene sve lozinke i ključevi koji su stajali na serverima. Kako su napadači ušli i ko su, nije saopšteno, a odgovornost nije preuzela nijedna grupa. Beget je napad proglasio višom silom.

№0959

Napadi

3. NOV 2026.

↳BleepingComputer

Tri nedelje posle prvog napada, evropski frižideri i dalje kuvaju namirnice

Tri nedelje pošto su napadači preko interneta odmrzli zamrzivače u stotinama francuskih supermarketa, isti trik ponovljen je širom Evrope. U noći između 1. i 2. novembra temperatura je skočila u više od 115 prodavnica u Belgiji, Holandiji, Švedskoj, Luksemburgu, Irskoj i Estoniji. Ko je to uradio, nije poznato, a odgovornost za sada nije preuzela nijedna grupa. Napadači su daljinski menjali podešavanja rashladnih sistema: gasili uređaje, pokretali odmrzavanje ili podizali temperaturu. U jednoj prodavnici švedskog lanca ICA u Stokholmu zamrzivači su oko dva sata posle ponoći podešeni na 50 stepeni, i to podešavanje nije moglo da se poništi. „Sve je uništeno“, rekla je menadžerka prodaje. Belgijski mesar Luc De Laet zatekao je u pola četiri ujutru frižidere na 18 stepeni i bacio meso vredno 15.000 evra. Najviše je stradala Belgija: oko 40 prodavnica grupe Ahold Delhaize u Belgiji i Luksemburgu, po petnaestak prodavnica lanaca Carrefour i Intermarché, nekoliko Spar radnji, IKEA u Monsu, pa čak i prodavnice čokolade. U Irskoj je pogođeno 13 prodavnica SuperValu, u Švedskoj sedam prodavnica Coop i najmanje četiri ICA, a u Holandiji bar 17 mesara i komšijskih radnji. Ahold Delhaize je vlasnik i našeg Maxija, ali o problemima u Srbiji nema podataka. Direktor belgijske firme Sabcobel, koja održava hlađenje u više pogođenih prodavnica, kaže da je napadač iskoristio isti propust kao u Francuskoj. Dodaje da samo ažuriranje softvera nije dovoljno, nego uređaje treba i fizički prepraviti. Danfoss, čiji su kontroleri bili meta i u Francuskoj, kaže da su pogođeni kupci koji nisu ažurirali softver. Belgijsko savezno tužilaštvo otvorilo je istragu.

№0958

Napadi

3. NOV 2026.

↳SecurityLab

Rusima i Ukrajincima stigla upozorenja o nuklearnim napadima

Poznato je da se rat između Rusije i Ukrajine vodi i u digitalnom prostoru, ali je u noći između 1. i 2. novembra dobio oblik od koga se ledi krv u žilama. U razmaku od tri sata, stanovnici obe zemlje dobili su lažnu uzbunu o nuklearnom napadu iz državnih aplikacija za rano upozorenje. Za alarm na teritoriji Ukrajine, zasluge samoj sebi pripisuje ruska grupa Hitcore, a ko je Rusima digao pritisak usred noći, za sada nije poznato. Prvo upozorenje je okinula ukrajinska „Vazdušna uzbuna“, aplikacija koju svakog dana otvara više od šest miliona ljudi. Oko 21:47 po našem vremenu počela je da prijavljuje obaveštenja o radijaciji, hemijskoj opasnosti i uličnim borbama u Kijevu. Zatim su počele da stižu poruke, na ruskom jeziku, da se nuklearna uzbuna širi na celu Ukrajinu i da je u naletu „Orešnik“, ruska raketa srednjeg dometa koja može da nosi nuklearne bojeve glave. Poruke su vodile na Telegram kanal Hitcore grupe, gde je pripadnicima ukrajinske službe bezbednosti SBU nuđeno da pređu na rusku stranu. Za nekoliko sati poslato je više od sto lažnih uzbuna. Da stvar bude gora, povezani servisi su počeli da prosleđuju lažna upozorenja, sve do uličnih razglasa na određenim mestima. Hitcore grupa tvrdi da je u sistem provalila preko računara administratora koji se na službenom uređaju dopisivao sa lažnim nalogom tobožnje sedamnaestogodišnje devojke i umesto njenih slika preuzeo malver. Dokaza za tu priču za sada nema. Tri sata kasnije, oko 00:45, korisnici široko rasprostranjene aplikacije ruskog Ministarstva za vanredne situacije (MČS), u čak 33 regiona, dobili su poruku da su nuklearne bojeve glave lansirane na Rusiju i da treba sići u podrum sa zalihama hrane za tri nedelje. Poruka je bila napisana uličnim žargonom sa psovkama, pa je bilo lakše zaključiti da je u pitanju prevara, iako je ponovljena i na zvaničnim kanalima ministarstva. MČS kaže da je napadač kroz propust u aplikaciji došao do administratorskog panela za upravljanje aplikacijom, ali da sirene, SMS i televizija nisu bili pogođeni napadom. Obe aplikacije danas ponovo rade.