Ponad dwa miesiące temu, opisywaliśmy nowy rodzaj kampanii wymierzonej w developerów npm o nazwie Shai-Hulud. Złośliwe, samoreplikujące się oprogramowanie wykorzystywało znane narzędzia, takie jak trufflehog do poszukiwania tokenów i sekretów. Ponadto wykorzystywało wykradzione tokeny do infekowania paczek w rejestrze npm. Ten drugi krok pozwalał na rozprzestrzenianie się w środowiskach deweloperów….

Jeśli czujesz, że technologia AI zmienia świat, a Ty nie chcesz zostać w tyle – ale jednocześnie jesteś osobą zabieganą i nie masz czasu na długie, skomplikowane szkolenia – mamy dla Ciebie idealne rozwiązanie! Ruszamy z cyklem krótkich szkoleń SOS AI – Sekurak o Sekretach AI, w formule dla zabieganych,…

Open WebUI to otwartoźródłowa, samodzielnie hostowana platforma AI. Można korzystać z niej na własnym serwerze, ale również lokalnie na urządzeniu. Obsługuje różne interfejsy LLM, takie jak Ollama i API kompatybilne z OpenAI.  TLDR: W październiku 2025 badacz zgłosił podatność XSS występującą w aplikacji. 21 października została załatana, a 7 listopada…

Ten wpis zaczniemy od anegdoty Tomka Turby, którą lubi ją przytaczać mówiąc o systemach monitorowania infrastruktury IT: W jednym z projektów monitoring miał status… zawsze zielony. Wszystko świeciło jak na święta: 100% OK. Aż do dnia, w którym pożar serwerowni skasował połowę infrastruktury. Monitoring: nadal zielony. Od tej pory ‘zielone…

Badacze z Unit42 ostrzegają na X o nowej kampanii phishingowej, w której cyberzbóje podszywają się pod powiadomienia o „niedostarczeniu wiadomości” z filtrów antyspamowych wewnątrz organizacji. Celem jest zwabienie ofiary na stronę phishingową, która kradnie dane logowania. Malwarebytes opublikował na swoim blogu analizę jednej z takich wiadomości. W komunikacie przesłanym do…

Na początku listopada Paul McCarty odkrył złośliwą kampanię w menadżerze pakietów npm. Składa się ona z ponad 43 tysięcy pakietów publikowanych przez co najmniej 11 kont. Były one systematycznie tworzone przez dłuższy czas, a niektóre z nich przetrwały w ekosystemie przez prawie dwa lata. Według ustaleń badaczy, pakiety nie wykradają…

14 listopada firma Logitech potwierdziła, że doszło do wycieku danych. Według komunikatu prasowego incydent nie miał wpływu na produkty, działalność biznesową ani procesy produkcyjne. Wyciek miał objąć “ograniczone informacje o pracownikach i konsumentach oraz dane dotyczące klientów i dostawców”. Firma deklaruje, że nie znalazły się w nim numery dowodów/paszportów ani…

Co jest lepszego od szkoleń sekuraka? Szkolenia sekuraka z MEGA rabatami 😉  Już dzisiaj, tj. 21 listopada, startujemy z naprawdę gorącą akcją: Black Week z sekurakiem, podczas której będziecie mogli kupić Wasze ulubione szkolenia, bilety na wyjątkowe, sekurakowe wydarzenia i bestsellery książkowe opublikowane przez Securitum Wydawnictwo ze zniżką nawet do…

Dokładnie miesiąc temu, 20 października 2025 r. spotkaliśmy się na Mega Sekurak Hacking Party. Było intensywnie, merytorycznie, ale też na luzie, jak to w sekurakowej rodzinie. Z przyjemnością dzielimy się z Wami filmowym podsumowaniem tego wyjątkowego wydarzenia! 👉 Zobaczcie, co działo się podczas konferencji – posłuchajcie wypowiedzi Uczestników, Prelegentów i…

Zagrożenie dezinformacją i propagandą nie dotyczy wyłącznie dużych portali czy social mediów. Organizacja IFTAS (Independent Federated Trust and Safety) informuje o trwającej od września kampanii dotyczącej zamieszczania rosyjskiej propagandy w mniejszych sieciach społecznościowych. TLDR: Tym razem na celowniku są sieci Bluesky oraz Mastodon. Wykorzystywany jest fakt, że serwery Mastodon są często prowadzone…

Badacze bezpieczeństwa z Oligo Security wykryli szereg podatności pozwalających na zdalne wykonanie kodu w głównych frameworkach do wnioskowania sztucznej inteligencji. Luki bezpieczeństwa występują w produktach oferowanych przez Meta, NVIDIA, Microsoft, vLLM oraz SGLang. Problem tkwi w niebezpiecznej kombinacji ZeroMQ i deserializacji pickle w Pythonie. Co ciekawe, szczególną uwagę badaczy zwrócił…

Wielokrotnie podkreślaliśmy rolę pentestów w procesie utrzymania bezpieczeństwa organizacji. Wagę pentestów zdają się potwierdzać także doświadczenia badaczy z zespołu Catchify. TLDR: – Krytyczna podatność (10.0 w skali CVSS) w aplikacji UniFi Access odpowiadającej z kontrolę nad urządzeniami dostępu fizycznego. – Możliwe jest pełne przejęcie urządzeń z podatnym oprogramowaniem i kradzież…

Microsoft ogłosił udostępnienie nowej funkcji w Teams, która automatycznie blokuje zrzuty i nagrywanie ekranu podczas spotkań. Zmiana miała być wprowadzona w lipcu 2025 roku, jednak ostatecznie termin wdrożenia został przesunięty na listopad 2025 roku.  Organizatorzy i współorganizatorzy spotkań na Teams będą mogli ograniczyć dostęp do wizualnych treści, uniemożliwiając przechwytywanie ekranu…

Google informuje o wydaniu nowej wersji najpopularniejszej obecnie na świecie przeglądarki, czyli Google Chrome. Załatane zostały dwa błędy sklasyfikowane na poziomie wysokim, przy czym – jak informuje Google – jedna z podatności jest aktywnie wykorzystywana. Załatane podatności oznaczone zostały CVE-2025-13223 oraz CVE-2025-13224. Użytkownicy Chrome oraz Chromium powinni jak najszybciej zaktualizować przeglądarki do…

Cisco Catalyst Center jest platformą służącą do zarządzania siecią (Network Management System), wykorzystującą sztuczną inteligencję do łączenia, zabezpieczania i automatyzacji operacji sieciowych. Dostępna jest w trzech wariantach wdrożeniowych: fizyczny appliance, wirtualny appliance oraz w wersji chmurowej. Wykryta podatność dotyczy wariantu wirtualnego wdrażanego na hypervisorze VMware ESXi, umożliwiającego uruchomienie platformy w…