21 października 2026 r. twórcy PHP wydali pilne poprawki dla dwóch krytycznych luk, wspólnie nazwanych PHP2Shell, które pozwalają atakującemu uruchomić kod na serwerze bez logowania. Obie otrzymały ocenę CVSS v4.0 na poziomie 9.2 i dotyczą sposobu, w jaki PHP przetwarza żądania multipart przesyłania plików, zanim w ogóle uruchomi się kod aplikacji. Poprawione wersje to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, a AWS dodatkowo opublikował szablony reguł AWS WAFv2 oraz ustawienia po stronie serwera, które ograniczają powierzchnię ataku zespołom potrzebującym czasu na wdrożenie aktualizacji. AWS jasno zaznacza, że reguły zapory działają tylko na brzegu sieci – nie są w stanie całkowicie zamknąć jednej z dwóch luk, więc łatanie pozostaje obowiązkowe.
Sieć honeypotów MadPot firmy Amazon zarejestrowała 17 października 2026 r. próbę wykorzystania luki znanej dziś jako CVE-2026-109618 i CVE-2026-109619 (nazwanej PHP2Shell) — cztery dni przed oficjalnym publicznym ujawnieniem. Żądanie pochodziło z adresu IP należącego do komercyjnej sieci anonimizującej, co sugeruje, że pewien atakujący dysponował działającym exploitem jeszcze przed zakończeniem embarga. Gdy embargo zakończyło się 21 października o 14:00 UTC, AWS twierdzi, że w ciągu kilku godzin w jego sensorach pojawił się zarówno kod proof-of-concept, jak i rzeczywiste ataki z kilku różnych grup infrastruktury. AWS wskazuje, że to oznacza strukturalną zmianę: analiza wspomagana przez AI przyspiesza przekształcanie łatki lub ogłoszenia w działający exploit, co podważa dawne założenie, że większość ataków następuje dopiero po publicznym PoC.
CISA potwierdziła rzeczywiste wykorzystywanie sześciu podatności i dodała je do katalogu Known Exploited Vulnerabilities. Cztery z sześciu dotyczą Plex Media Server – dwa błędy SSRF, problem z obsługą schematów URI oraz błąd kontroli ścieżki pliku; pozostałe dwie to wstrzyknięcie poleceń systemowych w EG Secure Solutions SiteGuard Server Edition oraz niekontrolowany element ścieżki wyszukiwania w Siemens Software Center. Ponieważ luki są już wykorzystywane, dyrektywa BOD 26-04 zobowiązuje cywilne agencje federalne do szybkiego łatania każdego publicznie dostępnego systemu, który mógłby dać atakującym pełną kontrolę, oraz do sprawdzenia, czy system nie został wcześniej naruszony.
Wspólny komunikat FBI, CISA, Secret Service oraz europejskich organów ścigania opisuje grupę ransomware SafePay, aktywną od sierpnia 2024 r. i odpowiedzialną za co najmniej 600 ataków w Ameryce Północnej, Południowej, Europie i Australii. SafePay uzyskuje dostęp poprzez skradzione lub złamane metodą brute force hasła, phishing oraz wykorzystanie znanych luk w VPN i urządzeniach brzegowych, a następnie używa legalnych narzędzi administracyjnych do poruszania się w sieci, wyłączania zabezpieczeń, eksfiltracji danych i szyfrowania plików hybrydowym schematem ChaCha20/RSA przed żądaniem okupu.
AWS przetestował swojego AWS Security Agent (obecnie część AWS Continuum) na nowo opracowanym benchmarku złożonym z 37 realnych, niedawno ujawnionych CVE, z których każdy uruchamiano jako żywy, skonteneryzowany cel z ukrytą flagą. Zaczynając od punktu o niskich uprawnieniach, mając jedynie jednolinijkową wskazówkę i brak PoC, agent (działający na Claude Opus 5) przeprowadził pełne, zakończone sukcesem wykorzystanie 33 z 37 podatności po audycie integralności; 2 przypadki przeklasyfikowano jako rozwiązania niezamierzoną ścieżką, a w 2 przypadkach agent uszkodził cel, zanim zdążył odczytać flagę. AWS zbudował ten benchmark, by uniknąć problemu zanieczyszczenia publicznych zestawów CVE, które modele mogły zapamiętać z danych treningowych.
CISA potwierdziła rzeczywiste wykorzystywanie czterech podatności i dodała je do katalogu Known Exploited Vulnerabilities. Dotknięte produkty obejmują infrastrukturę bezpieczeństwa sieci oraz kopii zapasowych: Palo Alto Networks PAN-OS, Cisco Secure Email Gateway oraz dwie osobne luki w platformie Ahsay AhsayCBS do tworzenia kopii zapasowych. Zgodnie z dyrektywą BOD 26-04 federalne agencje cywilne muszą teraz naprawić je w przyspieszonym terminie, a CISA zachęca wszystkie organizacje do tego samego.
Tamnoon zbudował Tami — agentowy orkiestrator na Amazon Bedrock, który bada ustalenia dotyczące bezpieczeństwa chmury pochodzące z CNAPP i dostawców chmury, ocenia bezpieczeństwo naprawy i generuje poprawki z mechanizmami kontrolnymi. Firma zgłasza ponad 90% redukcję krytycznych ekspozycji w chmurze w ciągu 90 dni, bez żadnych problemów produkcyjnych. System wykorzystuje czterech wyspecjalizowanych agentów (dochodzeniowego, oceny bezpieczeństwa, naprawy, generowania kodu), z których każdy wywołuje różne modele podstawowe przez Bedrock, a Bedrock Guardrails i wnioskowanie między regionami zapewniają bezpieczeństwo i skalę.
Atakujący już wykorzystują lukę typu command injection w Microsoft Windows (CVE-2026-96951) oraz obejście uwierzytelniania przez podszywanie się w Ivanti Connect Secure (CVE-2026-104935), dlatego CISA dodała obie do katalogu Known Exploited Vulnerabilities. Zgodnie z dyrektywą Binding Operational Directive 26-04 agencje federalne muszą teraz priorytetowo naprawić te luki w systemach dostępnych z internetu, które po wykorzystaniu umożliwiają pełne przejęcie kontroli. CISA zachęca wszystkie organizacje, nie tylko rządowe, do stosowania tego samego podejścia opartego na ryzyku.
AWS opublikował pierwszą część dwuczęściowego przewodnika pokazującego, jak zbudować odporny na komputery kwantowe łańcuch dostaw oprogramowania przy użyciu podpisów ML-DSA (NIST FIPS 204) w ramach AWS KMS, AWS Private CA i IAM Roles Anywhere. Przewodnik opisuje podpisywanie plików binarnych, obrazów kontenerów i SBOM i jest prezentowany jako pierwszy pełny przewodnik dostawcy chmury dotyczący podpisywania postkwantowego – od utworzenia korzenia zaufania po egzekwowanie polityki. Jest to odpowiedź na nadchodzące wymogi: CNSA 2.0 od NSA, wymagający wyłącznie odpornych na kwant podpisów do 2030 r., oraz unijny Cyber Resilience Act (CRA), który w pełni wejdzie w życie w grudniu 2027 r.
Badanie Cisco Talos CAIRN wyróżnia nową kategorię malware'u „A3: AI-Analysis Evasion” — kod, w który wbudowano tekst w języku naturalnym mający wpływać na modele językowe używane do automatycznej analizy zagrożeń. Technikę śledzono w czterech rodzinach (FRUITSHELL, PLOTSAFE, HOLLOWCLAD, MANTLEMAZE) i 84 próbkach od stycznia 2025 do lipca 2026 — od prostego skopiowanego komentarza po szablonowe, wielomodelowe „template spraying” i fałszywe groźby. Kontrolowane testy na pięciu lokalnych LLM pokazały, że najprostsza bezpośrednia instrukcja zmieniała werdykt modelu na „niegroźny” w około 35% przypadków, a bardziej skomplikowane triki miały niewielki efekt lub wręcz zwiększały podejrzliwość.
Zespół badawczy Cisco Talos ujawnił zestaw podatności w produktach Adobe Photoshop, Apple macOS, Foxit Reader oraz Microsoft Windows – wszystkie zostały już załatane przez odpowiednich producentów. Błędy obejmują eskalację uprawnień, ujawnienie informacji, zdalne wykonanie kodu oraz błędy use-after-free. Dostępne są zestawy reguł Snort do wykrywania prób wykorzystania tych luk.
AWS opisuje nową dwuetapową architekturę kontroli dostępu dla Retrieval Augmented Generation (RAG) w Amazon Quick i Amazon Bedrock Knowledge Bases. Zamiast polegać wyłącznie na okresowo synchronizowanych listach kontroli dostępu (ACL), system teraz weryfikuje uprawnienia w czasie rzeczywistym bezpośrednio w systemie źródłowym (np. Google Drive, SharePoint, Confluence) w momencie zapytania, zanim treść trafi do LLM. AWS twierdzi, że eliminuje to luki bezpieczeństwa wynikające z nieaktualnych lub błędnie zmapowanych uprawnień między synchronizacjami. Jako klienta wymieniono Mondelēz International, zatrudniającą ponad 35 000 pracowników.
CISA dodała dwie luki w Zammad do katalogu znanych wykorzystywanych podatności (KEV) po potwierdzeniu ich aktywnego wykorzystania. CVE-2026-102489 to luka session fixation, a CVE-2026-102490 dotyczy nieprawidłowego zarządzania uprawnieniami w platformie helpdesk/obsługi klienta Zammad. Agencje federalne muszą je usunąć zgodnie z Dyrektywą Operacyjną (BOD) 26-04, a CISA zachęca wszystkie organizacje do priorytetowego traktowania tych poprawek.
CISA dodała CVE-2026-104286, lukę typu path traversal w Fortinet FortiMail, do katalogu Known Exploited Vulnerabilities (KEV) po potwierdzeniu aktywnego wykorzystywania jej w praktyce. Zgodnie z dyrektywą BOD 26-04 federalne agencje cywilne muszą priorytetowo traktować łatanie tej luki na zasobach dostępnych publicznie, zwłaszcza gdy umożliwia ona pełną kontrolę nad systemem. CISA zaleca wszystkim organizacjom, nie tylko agencjom federalnym, priorytetowe usuwanie luk z listy KEV.
CERT-EU zaktualizowało ostrzeżenie dotyczące krytycznych luk w Microsoft SharePoint Server, potwierdzając aktywne wykorzystywanie CVE-2026-50522 (CVSS 9.8) — błędu deserializacji umożliwiającego zdalne wykonanie kodu. To część szerszej serii niedawno załatanych krytycznych błędów — CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 i CVE-2026-58644 — dotyczących lokalnych (on-premise) instalacji SharePoint Server, z których niektóre można wykorzystać bez uwierzytelnienia.
9 września 2026 roku Check Point wydał awaryjne poprawki (hotfixes) dla dwóch krytycznych podatności (CVE-2026-85102 i CVE-2026-85103), obu z oceną CVSS 9.8, wpływających na wdrożenia Security Gateway, Security Management Server oraz Spark Firewall korzystające z Remote Access VPN lub Site-to-Site VPN. Obie luki pozwalają niezautoryzowanym zdalnym atakującym na wykonanie dowolnego kodu na podatnych urządzeniach. CERT-EU wzywa do natychmiastowego wdrożenia poprawek, priorytetowo traktując urządzenia dostępne z internetu i te zlokalizowane na obrzeżu sieci (perimeter).
Citrix ujawnił 8 podatności dotyczących zarządzanych przez klienta NetScaler ADC i NetScaler Gateway, w tym 2 krytyczne, niewymagające uwierzytelnienia luki RCE o CVSS 9.5, które Citrix potwierdza jako aktywnie wykorzystywane. CERT-EU wzywa do natychmiastowego załatania i przeprowadzenia oceny kompromitacji urządzeń dostępnych z internetu. Pozostałe luki obejmują HTTP request smuggling, błędy przepełnienia pamięci prowadzące do RCE/DoS, obejście polityki oraz problem z przewidywalnością TCP ISN.