Hírolvasó

A Microsoft megerősítette, hogy dolgozik a „RoguePlanet” néven ismertté vált, a Microsoft Defenderhez kapcsolódó nulladik napi sérülékenység javításán, amely egy héttel ezelőtt került nyilvánosságra.

A feltételezetten iráni kötődésű Handala azt állítja, hogy 5 GB adatot lopott el a California Water Service (Cal Water) rendszereiből válaszul az amerikai katonai műveletekre, miközben a vállalat vizsgálatot indított, de egyelőre nem észlelt fennakadást a vízellátásban vagy a számlázási szolgáltatásokban.

Overview

The SignalRGB kernel driver, SignalIo.sys, contains two vulnerabilities involving improper access control and unsafe memory handling. The device object is created with an overly permissive Discretionary Access Control List (DACL) that allows user-mode processes to access privileged hardware operations through input/output control (IOCTL) commands. Additionally, several IOCTL handlers are susceptible to NULL pointer dereference conditions, which further enables low-privilege users to trigger kernel crashes and cause Denial of Service (DoS). Version 1.3.7.0 of the SignalRGB driver remediates these vulnerabilities.

Description

SignalRGB is a Windows application used for RGB lighting control and hardware monitoring. Its kernel component, SignalIo.sys, provides the low-level interfaces required to access and interact with hardware resources.

The SignalIo.sys driver exposes privileged functionality intended for administrative or security operations, but the device object is created without a restrictive security descriptor. Specifically, the driver does not apply security best practices by using either Security Descriptor Definition Language (SDDL) or the IoCreateDeviceSecure API, thereby allowing unprivileged user-mode processes to open handles to the device and issue privileged IOCTL requests.

CVE-2026-8049 The \\.\SignalIo device object is created without an explicit SDDL security descriptor and without FILE_DEVICE_SECURE_OPEN. This results in overly permissive default access control, allowing any authenticated local user to obtain a handle to the device and issue privileged IOCTLs.

CVE-2026-8050 Seven of the sixteen IOCTL handlers dereference the SystemBuffer pointer without first verifying that it is non-NULL. Sending an IOCTL with an empty input buffer causes a NULL pointer dereference, resulting in a kernel crash.

Impact

The device's insufficient access control enables user-mode interaction with privileged IOCTL interfaces and sensitive driver functionality, including read/write access to the PCI configuration space of system devices. Additionally, an authenticated local attacker can trigger repeated kernel crashes by accessing the \\.\SignalIo device and sending NULL input buffers to any of the seven vulnerable IOCTLs.

Notably, the affected SignalRGB drivers already include custom kernel-enforced port whitelists to block I/O access to several high-risk ports, which helps to limit the scope of sensitive operations available through the IOCTL interface.

Solution

SignalRGB has remediated these vulnerabilities in the recent 1.3.7.0 driver release. Organizations should update and/or block the previous vulnerable driver version where possible and implement mitigations designed to reduce exposure to BYOVD attacks, including restricting administrative privileges, enforcing Microsoft's recommended driver block rules, and enabling protections such as Windows Defender Application Control (WDAC) or an equivalent EDR solution for your environment.

Acknowledgements

Thanks to Shravan Kumar Sheri for researching and reporting this vulnerability, and to SignalRGB for their prompt engagement and coordination efforts. This document was written by Molly Jaconski.

A D3Lab nemrégiben egy rendkívül kifinomult phishing kampányt dokumentált, amely a Polizia Postale, az olasz online rendőrség nevével és arculatával él vissza. A kampány különlegessége, hogy a beírt személyes információkat, bankkártya adatokat nem hagyományos HTTP POST formában, hanem titkosított WebSocket kapcsolaton keresztül, karakterenként, valós időben küldi meg a támadókhoz. A támadás központi narratívája a SIM […]

A hónap elején kibertámadás érte az orosz Kaluga Astral szoftverfejlesztő vállalatot, amely következtében mintegy egész héten keresztül több szolgáltatásának működése is akadozott. Az incidens azokat az ügyfeleket érintette, akik a cég megoldásait adóbevallási folyamatokhoz, elektronikus dokumentumkezeléshez és egyéb üzleti feladatok ellátásához használták. A Kaluga Astral elektronikus dokumentumkezelő szoftvereket, digitális dokumentumkezelő rendszereket és kiberbiztonsági megoldásokat fejleszt. […]

A ShinyHunters nevű, hírhedt zsaroló és adatkiszivárogtató csoport azt állítja, hogy sikeresen kompromittálta az Európa Tanács informatikai rendszerét, és közel 300 GB mennyiségű adatot szerzett meg a szervezet hálózatából.

A Microsoft 365 Copilot Enterprise szolgáltatásban felfedezett, SearchLeak névre keresztelt kritikus sérülékenységi lánc lehetővé tehette a támadók számára, hogy egy speciálisan kialakított URL segítségével érzékeny adatokat szivárogtassanak ki a célpont postaládájából, OneDrive vagy SharePoint fiókjából.

Egy magas kockázatú, pénzügyi szolgáltatásokat és közigazgatási rendszereket célzó, mesterséges intelligenciával támogatott személyazonosság-lopási műveletet azonosítottak 2026. június 10-én. Az elemzések alapján egy szervezett kiberbűnözői csoport egy nagyméretű, összehangolt adathalász infrastruktúrát épített ki. A jelentések szerint a támadók mintegy 453 200 francia nyugdíjas személyes adatait és banki információit célozták meg vagy kompromittálták. Az állami nyugdíjbiztosítási rendszer, […]

2026 tavaszától új, nagyszabású adathalász‑kampány célozza a lengyel Gmail felhasználókat, amelyet a Ghostwriter APT‑csoportnak tulajdonít a CERT Polska. A korábban főként helyi szolgáltatókat (Onet, Wirtualna Polska, Interia) támadó csoport most a Google ökoszisztémára helyezte a fókuszt, miközben a kampány intenzitása láthatóan nagyobb, mint az előző hullámoknál. A kampányt nagy mennyiségű adathalász e‑mail jellemzi, és a […]

Egy nemzetközi együttműködés eredményeként sikerült felszámolni a Sniper Dz nevű, több éve aktívan működő phishing-as-a-service (PhaaS) platformot, amely világszerte több tízezer áldozat adatainak megszerzésében játszott szerepet. Az INTERPOL által koordinált, Ramz fedőnevű művelet során 13 közel-keleti és észak-afrikai ország hatóságai összesen 201 személyt vettek őrizetbe. A letartóztatottak között volt Guedz, a Sniper Dz elsődleges fejlesztője […]

A SIEM megoldások egyik fő feladata az, hogy az eszköz maga ne váljon a támadók belépési pontjává. A Splunk Enterprise legújabb, CVE-2026-20253 azonosítóval nyilvántartott sebezhetősége azonban pontosan erre ad lehetőséget a támadóknak.A CVSS 9.8-as, kritikus besorolású hiba lehetővé teszi, hogy egy előzetesen nem hitelesített, azaz semmilyen érvényes fiókkal nem rendelkező támadó teljes kódfuttatási jogosultságot (RCE) […]

ShinyHuntershez köthető támadók állítólag zero-day lánccal PeopleSoft-rendszerekből lophattak adatokat több mint 100 szervezetnél, főként oktatási intézményeknél, ezért az érintetteknek sürgősen IOC-alapú vizsgálatot és incidenskezelést javasolnak.

Overview

A vulnerability has been discovered in the Haskell TLS software stack, commonly used by applications built in the Haskell programming language to securely connect to servers over the internet. Specifically, the libraries "crypton-x509-validation" fail to enforce a key security feature called NameConstraints, a standard defined in RFC 5280 that helps organizations control which domains a certificate authority (CA) is allowed to issue certificates for. This vulnerability allows an attacker with access to the sub-CA to create certificates that will validate successfully with any Haskell TLS connection, allowing the attacker access to full session visibility. Version 1.91 for crypton-x509-validation have been released to address the vulnerability, tracked as CVE-2026-9648.

Description

Haskell is a programming language often used in enterprise, academic, and financial systems such as banks, insurance companies, and data processing platforms, which use it for backend services like fraud detection, risk modeling, and other sensitive connections. The Haskell TLS software stack is the implementation used by Haskell applications to establish secure HTTPS or TLS connections to servers, just like OpenSSL or Go’s TLS libraries do in other ecosystems. A vulnerability has been discovered within the stack; crypton-x509-validation, which do not enforce the NameContstraints security feature that other libraries, such as OpenSSL or Go, do.

The description for CVE-2026-9648 is as follows:

The crypton-x509-validation Haskell library fails to enforce X.509 NameConstraints, allowing TLS clients to accept certificates whose Subject Alternative Names fall outside the issuing CA’s permitted subtrees. This oversight enables an attacker who compromises a name-constrained sub-CA to impersonate domains beyond its intended scope.

NameConstraints are a security mechanism in digital certificates that tell a CA exactly which domains it’s allowed to issue certificates for. The crypton-x509-validation, which handle certificate validation in Haskell’s TLS connections, ignore these constraints entirely, so they never check whether a certificate’s Subject Alternative Name (SAN) falls within what the issuing CA is permitted to cover.

This enables a threat actor who gains access to a sub-CA key to create a certificate that includes a SAN for a protected domain, tricking Haskell clients into accepting it and enabling full impersonation of those services. Practically, a TA could set up a web server presenting the malicious CA, tracking any Haskell client to connect to the malicious web server, allowing them to capture any credentials or sensitive data transferred during the process.

Impact

An attacker that successfully exploits CVE-2026-9648 can capture any traffic sent between a Haskell client to their server, potentially giving access to sensitive financial information, credential theft, and secret theft.

This vulnerability is likely to affect industries that use delegated PKI structures, or structures that allow delegated systems to create and assign their own CAs. This is typical in banks or other financial industries.

Solution

The vulnerability requires considerable setup and victim interaction in order to be successful, but vulnerable parties should update their libraries to version 1.9.1 of the crypton-x509-validation libraries as soon as possible, as all version prior are vulnerable.

Acknowledgements

Thanks to the reporter, Ben Smyth.This document was written by Christopher Cullen.

A Tchap kormányzati kommunikációs platformhoz egy kompromittált fiókon keresztül fértek hozzá illetéktelenek, akik állításuk szerint nagy mennyiségű üzenetet, dokumentumot és felhasználói adatot szereztek meg, miközben a hatóságok vizsgálják az incidens tényleges hatását.

A Microsoft a keddi Patch Tuesday keretében több mint 200 sérülékenység javítását tartalmazó frissítést adott ki. A frissítési csomag a szakértők szerint jól szemlélteti, hogy a mesterséges intelligencia egyre jelentősebb szerepet játszik a sérülékenységek felderítésében. A vállalat júniusi csomagjában összesen 206 sérülékenységet azonosított. Az iparági elemzők kissé eltérő számokat közöltek. A Trend Micro Zero Day […]

A CISA új kötelező működési irányelvet adott ki, amely előírja az amerikai szövetségi ügynökségek számára, hogy a legkritikusabb sérülékenységeket három napon belül javítsák. Az új prioritási rendszer célja, hogy hatékonyabb sérülékenységkezelést biztosítson a mesterséges intelligencia fejlődése és az automatizált támadási képességek által fokozott fenyegetettségi környezetben. A közzétett irányelv négy fő szempont alapján értékeli a sérülékenységek […]

Mindössze néhány órával a 2026. júniusi Patch Tuesday frissítések megjelenése után Nightmare Eclipse nyilvánosságra hozta a RoguePlanet nevű, hetedik Windows zero-day exploitját. A teljesen patchelt Windows 10 és Windows 11 rendszerek egyaránt sebezhetők, és a sérülékenység sikeres kihasználása esetén egy normál jogosultságú felhasználó NT AUTHORITY\SYSTEM szintű parancssori hozzáférést kap, kernel exploit, memóriakorrupció vagy rendszergazdai jogosultság […]

A Ubiquiti UniFi OS Server három, már javított sérülékenységének láncolt kihasználásával hitelesítés nélkül, távoli kódfuttatás (RCE) érhető el rendszergazdai jogosultsággal az érintett rendszereken. A hibákat 2026 májusában javították, és a UniFi OS Server 5.0.6-os vagy korábbi verzióit érintik. A sérülékenységeket az alábbi azonosítók alatt tartják nyilván: Bár mindhárom sérülékenység kritikus besorolást kapott, a Ubiquiti biztonsági […]

A Meta tájékoztatása szerint mintegy 20 ezer Instagram-fiók eshetett áldozatul egy közelmúltbeli támadásnak, amely során a támadók egy mesterséges intelligenciával ellátott fiók-helyreállítási eszközt használtak ki.

Overview

Microsoft-signed UEFI bootloaders of the open-source shim project, primarily from version 0.9 and earlier, were identified as vulnerable to Secure Boot bypass. To mitigate this risk, the affected bootloaders will be added to the Microsoft UEFI Forbidden Signature Database (DBX). Once the DBX update is applied, these bootloaders will no longer be trusted for execution during the boot process.

An attacker could exploit these vulnerable shim bootloaders using a Bring Your Own Vulnerable Driver (BYOVD)-style technique to execute arbitrary code during the early boot phase, prior to operating system initialization, thereby bypassing Secure Boot protections.

Description

The Unified Extensible Firmware Interface (UEFI) standard defines the modern firmware architecture used to initialize hardware and transfer control to the operating system during system startup. On systems with Secure Boot enabled, UEFI applications and drivers must be cryptographically signed and verified before execution. Trust for these signatures is established through several firmware-managed databases, including the authorized signature database (DB), which commonly contains the "Microsoft Corporation UEFI CA 2011" certificate. This Microsoft certificate is widely used to sign third-party boot components intended to run under Secure Boot.

The open-source UEFI shim project is a small, signed bootloader that Microsoft signed using the "Microsoft Corporation UEFI CA 2011" certificate. Shim acts as a bridge between the motherboard's UEFI firmware and the operating system (typically a Linux distribution). Its purpose is to allow Linux distributions to boot with Secure Boot enabled without requiring every individual distribution's key to be built into the motherboard's NVRAM settings. In doing so, shim allows Linux distributions and other third parties to establish their own trust model through the use of Machine Owner Keys (MOKs), enabling additional bootloaders, kernels, and related components to execute within the Secure Boot chain. The shim project also introduced Secure Boot Advanced Targeting (SBAT), which provides a version-based revocation mechanism for boot components and simplifies future security updates and revocations.

Over time, multiple security vulnerabilities were identified and corrected in the upstream shim project. However, a number of vendors had previously forked or customized older versions of shim for their own products and boot environments. In many cases, these vendor-specific bootloaders were not updated after vulnerabilities in the upstream project became publicly known. As a result, vulnerable bootloaders remained signed and trusted by Secure Boot systems because they had not been revoked through the Microsoft-signed DBX revocation list. This created a long-term supply chain exposure in which outdated and vulnerable boot components could still be executed on fully patched systems.

Researchers from ESET identified multiple vulnerable shim bootloaders affected by these issues. The affected bootloaders will be added to Microsoft's official DBX revocation list as part of this coordinated disclosure.

Impacted shim bootloaders
[Vendor and Product Information
Authenticode SHA hash
SHA256 file hash
CVE ID]
Spyrus WTGCreator () from UEFI shim loader(0.7 (or lower)) AE75F0D82BA3DF824FBFC69340CC3B4D66C598373B1AB54CDB6C8BFD83A6B961 1D18DF4B15D3BC3DFFA1777A557075210DD0C53B CVE-2026-8863 RedHat RedHat Enterprise Linux (7.2) from UEFI shim loader(0.9) 7B2A3F5C96F95BD8086CE54B0825E300F9C8F11FE3401BB631B3215C8DE9EB10 3F24DD838C5C9E35B104FA2F3B74AC6A5BF92FD2 CVE pending from vendor RedHat CentOS (7.2) from UEFI shim loader(0.9) EB86FA1386FE6E4533B8B938DCC1250616D2F1C14C15E2FCF80834A161018A0A E133BE08E8AD17AC00E3C8ED215499C5F3C54E64 CVE pending from vendor baramundi baramundi Management Suite (up to 2024R1) from UEFI shim loader(0.8) FD23D6E57DE6F4E1F9D7118DA1C5F31A8AF6BE5E5D9E8170F9493447268D50C5 8637D7EFA23A8A5738F2E4AACB6C9919B405AA2C CVE-2026-8863 WhiteCanyon/Blancco WipeDrive (versions 8.0.0 through 8.1.3.) from UEFI shim loader(0.7) a0de9333442c1bf9349a460141ae5e80f911955c6506040fa3d021bf6c1ae3e4 8A402AFCD3C23D9253BBEA08576113C63E448AD0 CVE-2026-8863 Finland's Matriculation Examination Board Abitti 1 (1.0) from UEFI shim loader(0.8) 95B6D71FC0C0F8C5E1533A37AEF92CF6B0C961E2CC612A97117FA6759CE5FC06 8A83FA30DBF0073F33EAD298A7D5CD69A47C3A4B CVE-2026-8863 NTC IT ROSA, LLC ROSA Linux (R10, R9) from UEFI shim loader(0.9) 236A9CB0D71951C36398A32EB660CE2CD4A52CCFA7CF751CC6A35D9DE549E19B 8F9E8DB8E2C2157C2A591F2BE070FF96BFE318C7 CVE-2026-8863 Oracle America, Inc. OracleLinux (7.2) from UEFI shim loader(0.9) 5E594C448760A3135B1A3A83E07A4F2E6FBE49414EF2C7CAB1CBA77F284FA63B A16136899A12AD214FA4FBA60072BA72FBAB8BCA CVE-2026-8863 PC-Doctor, Inc. PC Doctor Service Center (15, 16) from UEFI shim loader(0.9) 8A964D5F8373948D20A1D4296FB92E545DAD4617A0C810F3B934B53D98AE8963 BC01320D8FF8343B348EF8F3C947A66EB8FD9CE2 CVE-2026-8863 OpenSuse OpenSuse Shim (10.1) from UEFI Shim loader (0.9) 410260B1B6F5AF5FBEEB9EA3220658435E876CB3247126EE907A437F312DB373 3CF8BEB1E2885F51CA04002425C4F3C796D105BC CVE not provided OpenSuse OpenSuse Shim (2.1) from UEFI Shim loader (0.9) 96275DFD6282A522B011177EE049296952AC794832091F937FBBF92869028629 6DB5266E80C9D51CDD54421E736DF2E6E6879A56 CVE not provided Impact

An attacker with administrative privileges or the ability to modify the boot process could use one of the vulnerable shim bootloaders to bypass Secure Boot protections and execute arbitrary code before the operating system loads. Code executed during this early boot phase may achieve persistent compromise of the platform, including the ability to load unsigned or malicious kernel components that can survive system reboots and, in some cases, operating system reinstallation. Because this activity occurs before the operating system and many security products initialize, malicious code executed through this technique may evade detection by operating system security controls and Endpoint Detection and Response (EDR) solutions.

Solution Apply a Patch

Apply the latest software updates along with latest bootloader updates as provided by your hardware or software vendor. See the Vendor Information section for details. Updated software should replace any vulnerable shim bootloaders with versions that incorporate the latest upstream security fixes and SBAT protections. Additionally, Microsoft DBX updates should be applied to all UEFI-based systems to ensure that vulnerable bootloaders can no longer be executed during the Secure Boot process.

Recommendations for Enterprises and Developers

Because modifications to the DBX (Forbidden Signature Database) can affect system boot behavior, vendors and administrators should thoroughly test these updates before broad deployment to ensure systems remain bootable. When deploying Secure Boot updates, it is recommended the latest authorized signature database (DB) is updated before applying DBX revocations. In practice, this means updating trusted boot applications and certificates first, followed by deployment of the revocation list. Failure to follow this order may cause systems to reject newly updated boot components. Enterprises, virtualization providers, and cloud operators managing large-scale deployments should prioritize validation and deployment of these updates to prevent the execution of vulnerable or unsigned binaries during physical or virtual machine startup. Microsoft also provides DBX update files and related tooling through the following repository: SecureBoot Objects

Audit tools such as Check-UEFISecureBootVariables for Windows systems using PowerShell, and uefi-dbx-audit for Linux systems, can be used to help verify that current DBX updates have been applied to UEFI-based laptops, desktops, servers, and virtual machines with Secure Boot enabled. These tools can also assist enterprise administrators in identifying revoked or vulnerable boot components present on a system. Audit and verification capabilities may vary depending on platform firmware implementation and support for revocation mechanisms such as SBAT and the newer Microsoft-specific Secure Version Numbering (SVN) enforcement.

Acknowledgements

Thanks to Martin Smolar of ESET for researching and reporting this vulnerability. This document was written by Vijay Sarvepalli.