خلاصه روزانه
نقص رمزگشایی Brotli در پشت Node.js RCE همچنین Bun، Python و سایر برنامه‌های پرکاربرد را تحت تأثیر قرار می‌دهد…
جلسه توجیهی امروز شامل اشکالات گسترده رمزگشای Brotli، نشت اطلاعات زنجیره تأمین در LiteLLM و سوءاستفاده‌های فعال جدید گزارش‌شده توسط CISA است.
5 خبر3 دقیقه مطالعه
خطرات زنجیره تأمین نرم‌افزار و نقص‌های زیرساختی اصلاح‌نشده، بر تحولات امنیتی امروز غالب هستند. سازمان‌هایی که به اجزای متن‌باز و تجهیزات سازمانی متکی هستند، با وظایف فوری تعمیر و نگهداری مواجه هستند.
اول، یک آسیب‌پذیری خرابی حافظه در رمزگشای Brotli گوگل، اکوسیستم‌های نرم‌افزاری پرکاربرد از جمله Node.js، Bun، Python و Envoy را تحت تأثیر قرار می‌دهد. در عین حال، CISA آسیب‌پذیری‌های فعال مورد سوءاستفاده در Collabora Online و Arista VeloCloud Orchestrator را به فهرست آسیب‌پذیری‌های شناخته‌شده مورد سوءاستفاده خود اضافه کرده است.
تیم‌های امنیتی باید فوراً اسرار افشا شده در مخازن توسعه‌دهندگان را بررسی کنند، وصله‌های فروشندگان را برای سیستم‌های محیطی ذکر شده در کاتالوگ CISA اعمال کنند و وابستگی‌های Brotli را در محیط‌های مختلف به‌روزرسانی کنند.
کلید اصلی LiteLLM لو رفته به مهاجمان اجازه می‌دهد توکن‌های گیت‌هاب را بدزدند و خط لوله انتشار را به سرقت ببرند.
یک کلید اصلی Agent Platform که در اواخر ماه مه ۲۰۲۶ در یک مخزن عمومی GitHub (LiteLLM-Labs/lite-harness) منتشر شد، به مهاجمان اجازه داد تا توکن‌های GitHub را بدزدند. عامل تهدید متعاقباً از دسترسی دزدیده شده برای ربودن خط لوله انتشار LiteLLM و انتشار یک نسخه مخرب از بسته پایتون استفاده کرد.
- چه باید کرد
- کلیدهای API و توکن‌های GitHub در معرض دید را بچرخانید، خطوط لوله انتشار CI/CD را ممیزی کنید و یکپارچگی بسته LiteLLM را تأیید کنید.
CISA دو نقص بحرانی فعال مورد سوءاستفاده در Collabora Online و Arista VeloCloud را شناسایی کرد
CISA پس از بهره‌برداری فعال در سطح اینترنت، آسیب‌پذیری‌های CVE-2026-110447 را در Collabora Online Built-in CODE Server و CVE-2026-114625 را در Arista VeloCloud Orchestrator به فهرست آسیب‌پذیری‌های شناخته‌شده‌ی مورد بهره‌برداری خود اضافه کرد. این اشکالات به ترتیب امکان تزریق دستور سیستم‌عامل و تزریق SQL را فراهم می‌کنند.
- چه باید کرد
- سرور CODE داخلی Collabora Online را به نسخه ۲۶.۴.۳۰۳ یا بالاتر به‌روزرسانی کنید و وصله‌های Arista VeloCloud Orchestrator را اعمال کنید.
نقص رمزگشایی Brotli در پشت Node.js RCE، Bun، Python و سایر نرم‌افزارهای پرکاربرد را نیز تحت تأثیر قرار می‌دهد.
یک نقص خرابی حافظه در رمزگشای Brotli گوگل در بسیاری از برنامه‌هایی که داده‌های فشرده‌شده با Brotli را باز می‌کنند، وجود دارد، از جمله Bun، بسته‌های Python Brotli و brotlicffi و پروکسی‌های Envoy که برای باز کردن فشرده‌سازی Brotli تنظیم شده‌اند.
- چرا اهمیت دارد
- از آنجا که هر برنامه‌ی آسیب‌دیده، نسخه‌ی مخصوص به خود از رمزگشای Brotli گوگل را همراه خود دارد، سازمان‌هایی که به این زمان‌های اجرا و پروکسی‌ها متکی هستند، باید به‌روزرسانی‌های مربوط به هر فروشنده را پیگیری و اعمال کنند تا از اجرای کد جلوگیری شود.
- چه باید کرد
- زمان‌های اجرا و بسته‌های آسیب‌دیده، از جمله وابستگی‌های Bun، Envoy و Python Brotli را به نسخه‌های وصله‌شده به‌روزرسانی کنید.
گوگل می‌گوید داده‌های جیمیل و عکس‌های به اشتراک گذاشته شده با جستجوی هوش مصنوعی می‌تواند برای تبلیغات هدفمند استفاده شود
گوگل سیاست حفظ حریم خصوصی خود را از ۱۶ اکتبر ۲۰۲۶ به‌روزرسانی کرد و توضیح داد که داده‌های به اشتراک گذاشته شده از گوگل فوتوز، جیمیل و درایو با ویژگی‌های هوش مصنوعی در جستجو یا برنامه‌های Gemini ممکن است برای ارائه تبلیغات هدفمند پردازش شوند.
- چرا اهمیت دارد
- کاربران و سازمان‌هایی که داده‌های شخصی یا Workspace خود را در جستجوی گوگل و ویژگی‌های هوش مصنوعی Gemini ادغام می‌کنند، ممکن است محتوای Gmail، Photos و Drive را در معرض تبلیغات هدفمند شخصی‌سازی‌شده قرار دهند.
- چه باید کرد
- تنظیمات حریم خصوصی حساب گوگل را بررسی کنید تا اشتراک‌گذاری داده‌های بین سرویس‌های مختلف بین برنامه‌های Workspace و Search/Gemini را محدود کنید.
محققان بیش از ۲ میلیون به‌روزرسانی برای غیرفعال کردن به‌روزرسانی زمان پاپ‌کورن از راه دور که می‌تواند یک بات‌نت را تغذیه کند، منتشر کردند.
شرکت امنیتی هلندی Eye Security عملیات IXIM را انجام داد و بیش از دو میلیون به‌روزرسانی از راه دور را برای غیرفعال کردن یک به‌روزرسانی‌کننده‌ی پس‌زمینه‌ی آسیب‌پذیر (Updater.exe) در برنامه‌ی رها شده‌ی Time4Popcorn صادر کرد. دامنه‌ی ثبت‌نشده‌ای که توسط به‌روزرسانی‌کننده جستجو می‌شد، خطر ربوده شدن برای یک بات‌نت در مقیاس بزرگ را داشت.
- چه باید کرد
- نرم‌افزارهای قدیمی غیرمجاز مانند Time4Popcorn را جستجو و حذف کنید و اتصالات به دامنه‌های به‌روزرسانی تأیید نشده را مسدود کنید.
نکات کلیدی
- پیاده‌سازی‌های رمزگشای Brotli را در Node.js، Bun، Python و Envoy به‌روزرسانی کنید تا نقص خرابی حافظه CVE-2026-111497 را وصله کنید.
- به‌روزرسانی‌های Collabora Online Built-in CODE Server (CVE-2026-110447) و Arista VeloCloud Orchestrator (CVE-2026-114625) پس از هشدارهای CISA.