2026 m. spalio 21 d. PHP projektas išleido skubius pataisymus dviem kritinėms spragoms, bendrai vadinamoms PHP2Shell, leidžiančioms užpuolikui vykdyti kodą serveryje be prisijungimo. Abi įvertintos CVSS v4.0 balu 9.2 ir glūdi tame, kaip PHP apdoroja multipart failų įkėlimo užklausas dar prieš paleidžiant pačios aplikacijos kodą. Pataisytos versijos – PHP 8.5.12, 8.4.27, 8.3.36 ir 8.2.35, o AWS papildomai paskelbė AWS WAFv2 taisyklių šablonus bei serverio lygio nustatymus, mažinančius riziką toms komandoms, kurioms reikia laiko diegti atnaujinimą. AWS aiškiai pažymi, kad ugniasienės taisyklės padeda tik pakraštyje – jos negali visiškai uždaryti vienos iš dviejų spragų, todėl pataisymas lieka privalomas.
Amazon „MadPot“ honeypot tinklas 2026 m. spalio 17 d. užfiksavo bandymą išnaudoti spragą, dabar žinomą kaip CVE-2026-109618 ir CVE-2026-109619 (pramintą PHP2Shell) — tai įvyko keturiomis dienomis anksčiau nei oficialus viešas paskelbimas. Užklausa atėjo iš komercinio anonimizacijos tinklo IP adreso, o tai rodo, kad kažkoks užpuolikas turėjo veikiantį eksploitą dar prieš embargo pabaigą. Kai spalio 21 d. 14:00 UTC embargas baigėsi, AWS teigia, kad per kelias valandas jų jutikliuose pasirodė tiek koncepcijos įrodymo (PoC) kodas, tiek realios atakos iš kelių skirtingų infrastruktūros grupių. AWS teigia, kad tai rodo struktūrinį pokytį: AI pagalba paspartina pataisos ar pranešimo pavertimą veikiančiu eksploitu, todėl nebegalioja senesnė prielaida, kad dauguma atakų vyksta tik po viešo PoC paskelbimo.
CISA patvirtino, kad šeši pažeidžiamumai realiai išnaudojami, ir įtraukė juos į Known Exploited Vulnerabilities katalogą. Keturi iš šešių veikia Plex Media Server – dvi SSRF spragos, URI schemos apdorojimo klaida ir failo kelio kontrolės problema; likę du – OS komandų injekcija EG Secure Solutions SiteGuard Server Edition ir nekontroliuojamo paieškos kelio elemento klaida Siemens Software Center. Kadangi spragos jau išnaudojamos, direktyva BOD 26-04 įpareigoja federalines civilines agentūras skubiai taisyti bet kurią viešai pasiekiamą sistemą, kuri gali suteikti užpuolikui pilną kontrolę, bei patikrinti, ar sistema nebuvo pažeista prieš taisant.
Bendrame FTB, CISA, JAV slaptosios tarnybos ir Europos teisėsaugos institucijų pranešime aprašoma SafePay išpirkos programišių grupė, aktyvi nuo 2024 m. rugpjūčio ir atsakinga už bent 600 atakų Šiaurės bei Pietų Amerikoje, Europoje ir Australijoje. SafePay prieigą gauna per pavogtus ar brutalios jėgos atakomis atspėtus slaptažodžius, sukčiavimą ir žinomų VPN bei pakraščio įrenginių pažeidžiamumų išnaudojimą, tuomet naudoja teisėtus administravimo įrankius judėjimui tinkle, apsaugos išjungimui, duomenų nutekinimui ir failų šifravimui ChaCha20/RSA hibridiniu metodu prieš reikalaudami išpirkos.
AWS išbandė savo AWS Security Agent (dabar AWS Continuum dalis) su nauju, specialiai sukurtu benchmarku iš 37 realių, neseniai paskelbtų CVE, kiekvieną paleidžiant kaip gyvą konteinerizuotą taikinį su paslėpta vėliavėle. Pradėdamas nuo žemo privilegijų lygio taško, turėdamas tik vienos eilutės užuominą ir jokio PoC, agentas (veikiantis su Claude Opus 5) sėkmingai ir iki galo išnaudojo 33 iš 37 pažeidžiamumų po patikros audito; 2 atvejai perklasifikuoti kaip netinkamu keliu pasiekti sprendimai, o 2 atvejais agentas sugadino taikinį prieš ištraukdamas vėliavėlę. AWS sukūrė šį benchmarką, kad išvengtų viešų CVE rinkinių užteršimo problemos, kai modeliai gali būti įsiminę sprendimus iš mokymo duomenų.
CISA patvirtino realų keturių pažeidžiamumų išnaudojimą ir įtraukė juos į Known Exploited Vulnerabilities katalogą. Paveikti produktai apima tinklo saugos ir atsarginio kopijavimo infrastruktūrą: Palo Alto Networks PAN-OS, Cisco Secure Email Gateway bei dvi atskiras spragas Ahsay AhsayCBS atsarginių kopijų platformoje. Pagal direktyvą BOD 26-04 federalinės civilinės agentūros privalo šias spragas taisyti pagreitintai, o CISA ragina visas organizacijas elgtis panašiai.
„Tamnoon“ sukūrė „Tami“ – agentinį orkestratorių „Amazon Bedrock“ platformoje, kuris tiria debesijos saugumo radinius iš CNAPP ir debesijos paslaugų teikėjų, įvertina pašalinimo saugumą ir generuoja pataisymus su apsaugos mechanizmais. Įmonė praneša apie daugiau nei 90 % kritinių debesijos pažeidžiamumų sumažėjimą per 90 dienų, be jokių gamybinių problemų. Sistema naudoja keturis specializuotus agentus (tyrimo, saugumo vertinimo, pašalinimo, kodo generavimo), kurie per „Bedrock“ kreipiasi į skirtingus pamatinius modelius, o „Bedrock Guardrails“ ir regionų tarpusavio išvada užtikrina saugumą ir mastelį.
Užpuolikai jau išnaudoja komandos įskverbimo (command injection) pažeidžiamumą Microsoft Windows sistemoje (CVE-2026-96951) ir autentifikacijos apėjimo per apsimetinėjimą pažeidžiamumą Ivanti Connect Secure (CVE-2026-104935), todėl CISA abu įtraukė į savo Žinomų išnaudojamų pažeidžiamumų (KEV) katalogą. Pagal Privalomąją veiklos direktyvą (BOD) 26-04 federalinės civilinės agentūros dabar privalo skubiai taisyti šiuos pažeidžiamumus viešai prieinamose sistemose, kurias išnaudojus galima perimti visą kontrolę. CISA ragina ir visas kitas organizacijas taikyti tą patį rizika grįstą pataisų diegimo principą.
AWS išleido pirmą dalį iš dviejų dalių vadovo, kaip sukurti kvantams atsparią programinės įrangos tiekimo grandinę naudojant ML-DSA parašus (NIST FIPS 204) per AWS KMS, AWS Private CA ir IAM Roles Anywhere. Vadove aprašomas dvejetainių failų, konteinerių vaizdų ir SBOM pasirašymas, ir tai pristatoma kaip pirmas pilnas debesijos tiekėjo vadovas apie kvantams atsparų pasirašymą – nuo pasitikėjimo šaknies sukūrimo iki politikos vykdymo. Tai reaguoja į artėjančius reikalavimus: NSA CNSA 2.0, reikalaujantį išskirtinai kvantams atsparių parašų iki 2030 m., ir ES Kibernetinio atsparumo aktą (CRA), kuris pilnai įsigalios 2027 m. gruodį.
„Cisco Talos“ CAIRN tyrime išskirta nauja kenkėjiškų programų kategorija „A3: AI analizės vengimas“ — tai kodas, į kurį įterptas natūralios kalbos tekstas, skirtas paveikti kalbos modelius, naudojamus automatiniam kenkėjiškų failų vertinimui. Technika sekta keturiose šeimose (FRUITSHELL, PLOTSAFE, HOLLOWCLAD, MANTLEMAZE) ir 84 pavyzdžiuose nuo 2025 m. sausio iki 2026 m. liepos — nuo paprasto nukopijuoto komentaro iki šablonizuoto, kelioms AI modelių šeimoms taikyto „template spraying“ ir melagingų grasinimų. Kontroliuojami testai su penkiais vietiniais LLM parodė, kad paprasčiausia tiesioginė instrukcija pakeitė modelio vertinimą į „nekenksmingas“ maždaug 35 % bandymų, o sudėtingesni triukai beveik neveikė arba net padidino įtarimą.
„Cisco Talos“ pažeidžiamumų tyrimo komanda atskleidė pažeidžiamumų rinkinį „Adobe Photoshop“, „Apple macOS“, „Foxit Reader“ ir „Microsoft Windows“ programinėje įrangoje – visi jie jau pataisyti atitinkamų gamintojų. Spragos apima teisių eskalaciją, informacijos atskleidimą, nuotolinį kodo vykdymą ir use-after-free klaidas. Šių pažeidžiamumų išnaudojimui aptikti galima naudoti „Snort“ taisyklių rinkinius.
AWS pristato naują dviejų pakopų prieigos kontrolės architektūrą RAG (Retrieval Augmented Generation) sistemoms „Amazon Quick“ ir „Amazon Bedrock Knowledge Bases“. Vietoj to, kad pasikliautų tik periodiškai sinchronizuojamais prieigos sąrašais (ACL), sistema dabar realiu laiku tikrina teises tiesiogiai šaltinio sistemoje (pvz., Google Drive, SharePoint, Confluence) užklausos metu, prieš perduodama turinį LLM. AWS teigia, kad tai panaikina saugumo spragas, atsirandančias dėl pasenusių ar netiksliai susietų teisių tarp sinchronizavimų. Kaip pavyzdys minima „Mondelēz International“, turinti daugiau nei 35 000 darbuotojų.
CISA į savo žinomų išnaudojamų pažeidžiamumų (KEV) katalogą įtraukė du „Zammad“ pažeidžiamumus, patvirtinusi aktyvų jų išnaudojimą. CVE-2026-102489 yra sesijos fiksavimo (session fixation) klaida, o CVE-2026-102490 susijęs su netinkamu teisių valdymu „Zammad“ klientų aptarnavimo/pagalbos sistemoje. Federalinės agentūros privalo šalinti šiuos pažeidžiamumus pagal Privalomąją veiklos direktyvą (BOD) 26-04, o CISA ragina visas organizacijas šiuos taisymus laikyti prioritetu.
CISA į Known Exploited Vulnerabilities (KEV) katalogą įtraukė CVE-2026-104286 – kelio perėjimo (path traversal) pažeidžiamumą Fortinet FortiMail sistemoje, patvirtinus, kad jis aktyviai išnaudojamas. Pagal direktyvą BOD 26-04 federalinės civilinės agentūros privalo prioritetizuoti šio pažeidžiamumo taisymą viešai prieinamuose įrenginiuose, ypač jei išnaudojimas suteikia visišką sistemos kontrolę. CISA rekomenduoja visoms organizacijoms, ne tik federalinėms agentūroms, prioritetizuoti KEV sąraše esančių pažeidžiamumų šalinimą.
„GitHub Security Lab“ sukūrė atviro kodo „Taskflow Agent“, kuris naudoja pritaikomus AI darbo eigos šablonus kodo saugumo auditui, ir juo rado bei pranešė apie daugiau nei 24 pažeidžiamumus „Android“ programose. Du detalūs pavyzdžiai rodo, kaip agentas atrado vartotojo vietos sekimo spragą „OsmAnd“ navigacijos programoje ir paskyros perėmimo grandinę „Wikipedia“ „Android“ programoje per deeplink nuorodų apdorojimo klaidą. Komanda pastebi, kad LLM gerai randa sudėtingas logines pažeidžiamumų klases ir gerai supranta API elgseną, tačiau sunkiai įvertina tikrą rimtumą ir dažnai generuoja klaidingus teigiamus rezultatus, todėl radiniai vis dar turi būti peržiūrimi žmogaus. Darbo eigos šablonai yra atviro kodo ir gali būti paleisti bet kuriame „GitHub“ saugykloje per „Copilot“ varomą codespace skriptą, tačiau tam reikia premium modelio užklausų ir gali užtrukti kelias valandas.
CERT-EU atnaujino pranešimą apie kritines Microsoft SharePoint Server spragas, patvirtindama aktyvų CVE-2026-50522 (CVSS 9.8) išnaudojimą — deserializacijos klaidą, leidžiančią nuotoliniu būdu vykdyti kodą. Tai dalis platesnės neseniai ištaisytų kritinių klaidų serijos — CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 ir CVE-2026-58644 — kurios paveikia vietines (on-premise) SharePoint Server versijas, kai kurias galima išnaudoti be autentifikacijos.
2026 m. rugsėjo 9 d. „Check Point“ išleido avarinius pataisymus dviem kritinėms pažeidžiamumams (CVE-2026-85102 ir CVE-2026-85103), abu su CVSS 9.8, veikiantiems Security Gateway, Security Management Server ir Spark Firewall diegimus, naudojančius Remote Access VPN arba Site-to-Site VPN. Abu trūkumai leidžia neautentifikuotiems nuotoliniams užpuolikams vykdyti savavališką kodą paveiktuose įrenginiuose. CERT-EU ragina nedelsiant taikyti pataisymus, pirmenybę teikiant į internetą nukreiptiems ir perimetro įrenginiams.
Citrix paskelbė apie 8 pažeidžiamumus, paveikiančius klientų valdomus NetScaler ADC ir NetScaler Gateway, įskaitant 2 kritines neautentifikuotas RCE spragas su CVSS 9.5 balu, kurias Citrix patvirtino kaip aktyviai išnaudojamas. CERT-EU ragina nedelsiant atnaujinti programinę įrangą ir atlikti kompromitavimo vertinimą internete prieinamiems įrenginiams. Kitos spragos apima HTTP užklausų kontrabandą, atminties perpildymo klaidas, vedančias prie RCE/DoS, politikos apėjimą ir TCP ISN prognozavimo problemą.