CODZIENNY BRIEFING
Node2Shell RCE, ostrzeżenie o niezałatanym kodzie PHP i luka w zabezpieczeniach Python Pillow
Dzisiejszy briefing obejmuje zagadnienia związane z ryzykiem zdalnego wykonania kodu w Node.js i Python Pillow, niezałatane ostrzeżenie dotyczące konfiguracji PHP oraz tylne wejście w sieci mesh wykorzystywane na Ukrainie.
5 wiadomości2 min czytania
Środowiska wykonawcze aplikacji internetowych i popularne zależności zajmują dziś centralne miejsce, wraz z pojawieniem się nowych wektorów wykonywania kodu w Node.js, PHP i bibliotece obrazów Pillow w Pythonie. Organizacje utrzymujące platformy internetowe muszą audytować te kluczowe komponenty serwera i niezwłocznie wdrażać aktualizacje.
Jednocześnie, ukierunkowane cyberoperacje wykazują coraz bardziej zaawansowane taktyki trwałości. Aktorzy zagrożeń Sandworm i UAC-0099 wykorzystali nowatorskie tylne drzwi w sieci mesh wraz z mechanizmami usuwania danych, podkreślając potrzebę monitorowania niestandardowych kanałów dowodzenia i kontroli w obrębie infrastruktury krytycznej.
Krytyczna wada popularnej biblioteki obrazów Pillow w Pythonie umożliwia wykonanie kodu za pomocą spreparowanego obrazu
Krytyczna luka w zabezpieczeniach biblioteki Pillow w Pythonie (CVE-2026-112900) umożliwia zdalne wykonywanie kodu podczas przetwarzania obrazów EPS. Pillow przekazuje nazwy plików do Ghostscriptu bez walidacji, umożliwiając wstrzyknięcie poleceń za pomocą spreparowanych nazw plików. Luka została naprawiona w wersji Pillow 13.0.0.
- Dlaczego to ważne
- Pillow jest szeroko stosowany w aplikacjach internetowych, procesach przetwarzania obrazów i procesach uczenia maszynowego, umożliwiając systemom przetwarzającym niezaufane obrazy wykonywanie poleceń.
Hakerzy powiązani z Rosją wykorzystali nowe tylne wejście do sieci mesh w niszczycielskim ataku na Ukrainę
Rosyjska, państwowa grupa cyberprzestępców Sandworm współpracowała z UAC-0099 w destrukcyjnym ataku na ukraińską firmę logistyczną. UAC-0099 wdrożył backdoor MATCHWOK i nowy backdoor sieci mesh, MythicRatatoskr, komunikując się przez Yggdrasil, a następnie przekazał dostęp Sandwormowi w celu wykonania operacji usuwania danych.
- Dlaczego to ważne
- Napastnicy wykorzystują nowatorską infrastrukturę C2 w sieciach kratowych, takich jak Yggdrasil, aby uniknąć wykrycia i uruchomić destrukcyjne programy czyszczące dane.
Naukowcy demonstrują lukę w zabezpieczeniach Node2Shell RCE w kompilacji Node.js przy użyciu zmodyfikowanych danych Brotli
Badacze zademonstrowali działający exploit Node2Shell umożliwiający zdalne wykonanie kodu w oficjalnych kompilacjach Node.js 24.22.0 dla systemu Linux ARM64. Exploit wykorzystuje lukę w dekoderze Brotli (CVE-2026-111497) poprzez przesyłanie złośliwych skompresowanych danych w celu uruchomienia dowolnego kodu. Wersje poprawione, w tym Node.js 24.22.1, odrzucają ten ładunek.
- Dlaczego to ważne
- Aplikacje dekodujące niezaufane skompresowane dane Brotli przy użyciu podatnych na ataki kompilacji Node.js są podatne na zdalne wykonanie kodu.
PHP ostrzega przed kolejnym niezałatanym RCE dwa dni po awaryjnych poprawkach PHP2Shell
PHP ostrzega przed luką CVE-2026-115560, niezałataną luką RCE, która dotyczy konfiguracji z session.serialize_handler ustawionym na php_binary lub php_serialize. Jest to następstwem awaryjnych poprawek dla CVE-2026-109618 i CVE-2026-109619. PHP nie publikuje awaryjnej poprawki i zaleca wyłączenie postępu przesyłania sesji.
- Dlaczego to ważne
- Aplikacje internetowe ze specyficznymi opcjami konfiguracji sesji PHP pozostają podatne na zdalne wykonywanie kodu aż do następnej rutynowej aktualizacji.
HPE łata osiem luk o maksymalnej wadze RCE i omijających uwierzytelnianie w systemie operacyjnym AOS
Strona weryfikacyjna serwisu BleepingComputer poddała system weryfikacji zabezpieczeń Cloudflare, uniemożliwiając pobranie szczegółów dotyczących wydania przez HPE poprawki do luk w systemie AOS.
Najważniejsze wnioski
- Zaktualizuj Node.js do wersji 24.22.1, aby zapobiec zdalnemu wykonywaniu kodu za pośrednictwem luki w dekoderze Brotli CVE-2026-111497.
- Aktorzy powiązani z Rosją wykorzystali tylne wejście MythicRatatoskr, komunikując się za pośrednictwem sieci mesh Yggdrasil, przed atakiem mającym na celu usunięcie danych.