W biegu

Mega Sekurak Hacking Party znów rozbiło bank! 20 października 2025 roku Centrum Kongresowe ICE w Krakowie ponownie stało się mekką dla pasjonatów cyberbezpieczeństwa. Rekordowa frekwencja onsite – ponad 1400 uczestników – oraz solidna reprezentacja online (400+) potwierdziła, że to nie jest zwykła konferencja, jakich wiele, a prawdziwa „rodzinna impreza” dla…

VirusTotal, to platforma, której nie trzeba przedstawiać Czytelnikom sekuraka. Ten należący do firmy Google serwis pozwala skanować przesyłane do niego pliki korzystając z wielu silników antywirusowych. Dodatkowo przesyłane na platformę pliki wykorzystywane są do dalszych analiz przez osoby badające złośliwe oprogramowanie. Od teraz dostęp do tego olbrzymiego repozytorium ze złośliwym…

Kestrel to domyślny i lekki serwer HTTP wykorzystywany przez aplikacje w technologii ASP.NET Core. Do jego zalet można zaliczyć między innymi wieloplatformowość i wydajność. Dokładając do tego fakt, że jest to rozwiązanie dostępne “z pudełka”, otrzymujemy bardzo popularną zależność (od angielskiego dependency). Duża popularność tego rozwiązania, powoduje że atakujący stosunkowo…

Firma Elona Muska xAI uruchomiła projekt Grokipedia, encyklopedię AI, która ma być konkurencją dla popularnej Wikipedii. O starcie portalu Musk poinformował na swoim profilu X 28.10.2025 r. Obecnie Grokipedia ma 885 279 artykułów i ich liczba ciągle rośnie. W przeciwieństwie do Wikipedii, której artykuły są pisane i recenzowane przez ludzi,…

To nie będzie łatwy poranek dla właścicieli sklepów prowadzonych na platformie e-commerce sky-shop.pl. Od rana, platforma prowadzi akcję informacyjną, dotyczącą ataku, który został wykryty 28.10.2025 r.  Sky-Shop rozesłał wiadomość e-mail do swoich klientów, w której obszernie informuje o zaistniałym incydencie. Według przeprowadzonej analizy powłamaniowej, do ataku miało dojść 19.10.2025, kiedy…

X (Twitter) ogłosił, że 10 listopada całkowicie przestanie używać starej domeny twitter[.]com. O ile znaczna większość funkcjonalności platformy została bezproblemowo przeniesiona na x[.]com, o tyle jedna – dość istotna – nie daje takiej możliwości. TLDR: Mowa o sprzętowych kluczach U2F (choć precyzyjnie mówiąc, chodzi o urządzenia w standardzie FIDO2), które…

Nieznani atakujący uzyskali dostęp do danych Kansas City National Security Campus (KCNSC), czyli podmiotu podlegający Narodowej Administracji Bezpieczeństwa Jądrowego (NNSA). Powodem były podatności w Microsoft SharePoint, o których pisaliśmy już w lipcu. TLDR: Wyciek dotyczył zakładu produkującego zdecydowaną większość niejądrowych komponentów do amerykańskiej broni jądrowej w ramach NNSA, agencji Departamentu…

10 października 2025 Łotewska policja zatrzymała 5 osób oraz skonfiskowała sprzęt wykorzystywany do przestępstw przeciwko tysiącom ofiar w całej Europie. W trakcie operacji SIMCARTEL zatrzymano kolejne dwie osoby i zabezpieczono 1200 SIM boxów oraz 40000 kart SIM. TLDR: Śledczy z Austrii, Estonii i Łotwy wraz z funkcjonariuszami Europolu i Eurojust…

Na początku października 2025 r. badacze bezpieczeństwa z firmy Botanica Technologists opublikowali raport z analizy audytu OSS (Open Source Software) Elliptic Curve. Wyniki badań są niepokojące, ponieważ został wykryty szereg błędów kryptograficznych, związanych z nieprawidłową implementacją krzywej eliptycznej FourQ w bibliotece CIRCL (Cloudflare Interoperable, Reusable Cryptographic Library). Jeden z błędów…

W redakcji doceniamy prawdziwą hakerską robotę, dlatego z uwagą śledzimy (a później analizujemy raporty zwane writeupami) zmagania podczas zawodów spod szyldu Pwn2Own organizowanych przez Zero Day Initiative. Tegoroczna edycja odbyła się między 21 a 24 października 2025 w Cork, w Irlandii. Zawodnicy mogli zmierzyć się w ośmiu kategoriach: Szczegółowy zestaw…

Ten wpis dedykujemy wszystkim przyszłym ekspertom ds. cyberbezpieczeństwa, myślącym o rozpoczęciu kariery „bezpiecznika”, a także osobom chcącym zdobyć praktyczne umiejętności, pozwalające chronić sieci, aplikacje i dane przed hackerami. Do jego przeczytania zachęcamy również wszystkich tych, którzy alergicznie reagują na slajdowiska, za to są fanami praktycznych pokazów.  Wprowadzenie do bezpieczeństwa IT…

Jedną z fajniejszych, z punktu widzenia pentestera, podatności (chociaż trochę niedoceniana) jest podatność masowego przypisania (mass assignment). Dzięki niej, możliwa jest zmiana np. pól obiektu, które nie powinny zostać zmienione. Powstaje najczęściej w wyniku błędnego użycia funkcjonalności np. biblioteki, która pozwala zmapować parametry zapytania do wewnętrznej reprezentacji obiektu w aplikacji. …

Nie tak dawno temu pisaliśmy o podatności w Microsoft 365 Copilot, zgrabnie nazwanej EchoLeak. Umożliwiała ona – przez wysyłkę spreparowanego maila – wyciek danych z organizacji bez ingerencji użytkownika. Nowa podatność o równie wdzięcznej nazwie – CamoLeak – choć wykryta w podobnym czasie, dopiero niedawno została upubliczniona. TLDR: Badacz z…

To nie pierwszy raz kiedy atakujący obierają za cel łańcuchy dostaw. Nie tak dawno informowaliśmy o ataku na listę otwartych bibliotek npm, a już pojawia się kolejne zagrożenie – malware ukryty w pakietach PyPI, Ruby oraz wspomnianym wyżej npm. TLDR: Badacze bezpieczeństwa z Socket.dev zidentyfikowali szereg pakietów zainfekowanych złośliwym oprogramowaniem,…

Atak na dużego dostawcę rozwiązań bezpieczeństwa zawsze budzi emocje. Nie inaczej jest tym razem. Firma F5 w oświadczeniu, poinformowała o wykrytym w sierpniu tego roku ataku na swoją infrastrukturę. Wyciekł kod źródłowy, informacje o podatnościach oraz configi niektórych klientów.