Aktualności w cyberbezpieczeństwie: Pilne aktualizacje i zagrożenia tygodnia

Każdy, kto korzysta ze smartfona, przegląda internet czy rozpakowuje pliki na komputerze, powinien na bieżąco śledzić najnowsze zagrożenia. W tym tygodniu hakerzy wykorzystują poważne luki w oprogramowaniu, których dotychczasowe naprawy mogą nie być wystarczające, a ataki rozpoczęły się nawet przed udostępnieniem aktualizacji. W artykule przedstawiamy kluczowe aktualizacje, które należy zainstalować, aby zabezpieczyć się przed tymi zagrożeniami.

⚡ Zagrożenie Tygodnia

Apple i Google wprowadzają poprawki dla aktywnie eksploatowanych luk — Apple wydał aktualizacje bezpieczeństwa dla iOS, iPadOS, macOS, tvOS, watchOS, visionOS oraz przeglądarki Safari, aby zlikwidować dwie krytyczne luki, które były przedmiotem ataków. CVE-2025-14174 to problem związany z uszkodzeniem pamięci, zaś CVE-2025-43529 jest błędem polegającym na użyciu po zwolnieniu zasobów. Obie luki mogą być wykorzystane do uruchamiania dowolnego kodu za pomocą złośliwie przygotowanej zawartości internetowej. Google również odpowiedział na problem w przeglądarce Chrome poprzez załatane luki w jego repozytorium open-source Almost Native Graphics Layer Engine (ANGLE). Na razie brak szczegółów dotyczących techniki wykorzystania tych luk, ale niektóre dowody sugerują, że mogły one zostać wykorzystane przez sprzedawców oprogramowania szpiegowskiego.

🔔 Najważniejsze wiadomości

SOAPwn eksploatuje HTTP client proxies w .NET dla zdalnego wykonywania kodu — Badacze z zakresu cyberbezpieczeństwa ujawnili nieoczekiwane zachowanie HTTP client proxies w aplikacjach .NET, które mogą pozwalać atakującym na osiągnięcie zdalnego wykonania kodu. W jej rdzeniu problem związany jest z tym, że aplikacje .NET są podatne na dowolne zapisy plików, ponieważ HTTP client proxies akceptują również nie-HTTP URL, co pozostaje w gestii twórców oprogramowania, aby się przed tym bronić — ale sądząc po reakcjach, nie można tego oczekiwać. W rezultacie może to otworzyć ścieżki ataku RCE przez webshell i złośliwe skrypty PowerShell w wielu aplikacjach .NET, w tym w produktach komercyjnych. Umożliwiając przekazywanie dowolnego URL do punktu API SOAP w przypadku dotkniętej aplikacji, atakujący może wywołać wyciek NTLM challenge. Problem można również wykorzystać przy pomocy importów WSDL, które następnie służą do generowania client SOAP proxies kontrolowanych przez napastnika. „Framework .NET pozwala oszukać swoje HTTP client proxies, by interagowały z systemem plików. Przy odpowiednich warunkach, chętnie zapiszą SOAP requests w lokalnych ścieżkach zamiast przesyłać je przez HTTP,” mówi firma watchTowr. „W najlepszym przypadku prowadzi to do relayi NTLM lub przechwytywania challenge. W najgorszym dziedziczy to RCE przez przesyłanie webshell lub zrzuty skryptów PowerShell.”

Atakujący wykorzystują nową lukę w CentreStack i Triofox — Nowa podatność w produktach CentreStack i Triofox od Gladinet jest na czołowej liście zagrożeń, wykorzystywana przez nieznanych aktorów do uzyskania wykonania kodu. Problem ten, który nie ma jeszcze identyfikatora CVE, można nadużywać do dostępu do pliku web.config, co może prowadzić do wykonania dowolnego kodu. Jego źródłem jest błąd projektowy związany z generowaniem kluczy kryptograficznych do szyfrowania tokenów dostępu, które kontrolują dostęp do plików. Jak podaje Huntress, do 10 grudnia 2025 roku na ten nowy błąd zwróciło uwagę dziewięć organizacji.

Luka WinRAR wykorzystywana przez różne grupy atakujące — Wysokosekwencyjna luka w WinRAR (CVE-2025-6218, CVSS: 7.8) jest aktywnie wykorzystywana przez trzy różne grupy atakujące, znane jako GOFFEE (znana również jako Paper Werewolf), Bitter (APT-C-08 lub Manlinghua) oraz Gamaredon. CVE-2025-6218 to podatność związana z przechodzeniem po ścieżkach, która pozwala atakującemu na wykonywanie kodu w kontekście bieżącego użytkownika. Amerykańska Cybersecurity and Infrastructure Security Agency (CISA) dodała tę lukę do katalogu znanych luk wykorzystanych (KEV), wymagając, by agencje rządowe zastosowały odpowiednie poprawki do 30 grudnia 2025 roku.

Eksploatacja React2Shell rośnie — Ostatnio ujawniona luka o maksymalnej wadze w React (CVE-2025-55182, CVSS: 10.0) stała się przedmiotem szerokich działań w związku z eksploatacją jej przez złośliwe grupy atakujące. Publiczne ujawnienie tej luki zainicjowało „szybką falę oportunistycznej eksploatacji,” według Wiza. Google zauważył, że obserwował cluster szpiegowski powiązany z Chinami o nazwie UNC6600, wykorzystujący React2Shell do dostarczania MINOCAT, narzędzia opierającego się na Fast Reverse Proxy (FRP). Inne wysiłki eksploatacyjne obejmowały plasowanie złośliwego downloadera SNOWLIGHT przez UNC6586 (powiązany z Chinami) oraz backdoor COMPOOD (powiązany z działalnością szpiegowską z Chin od 2022 roku) przez UNC6588.

📜 Nowe zagrożenia i kampanie phishingowe

W tym tygodniu pojawiło się wiele pilnych luk, które mogą stać się przyczyną poważnych naruszeń bezpieczeństwa. Oto niektóre z najpoważniejszych problemów bezpieczeństwa, które należy jak najszybciej naprawić:

• CVE-2025-43529, CVE-2025-14174 (Apple)
• CVE-2025-14174 (Google Chrome)
• CVE-2025-55183, CVE-2025-55184, CVE-2025-67779 (React)
• CVE-2025-8110 (Gogs)
• CVE-2025-62221 (Microsoft Windows)
• CVE-2025-59718, CVE-2025-59719 (Fortinet)
• CVE-2025-10573 (Ivanti Endpoint Manager)
• CVE-2025-42880, CVE-2025-55754, CVE-2025-42928 (SAP)
• CVE-2025-9612, CVE-2025-9613, CVE-2025-9614 (PCI Express Integrity and Data Encryption protocol)
• CVE-2025-27019, CVE-2025-27020 (Infinera MTC-9)
• CVE-2025-65883 (Genexis Platinum P4410 router)
• CVE-2025-64126, CVE-2025-64127, CVE-2025-64128 (Zenitel TCIV-3+)
• CVE-2025-66570 (cpp-httplib)
• CVE-2025-63216 (Itel DAB Gateway)
• CVE-2025-63224 (Itel DAB Encoder)
• CVE-2025-13390 (WP Directory Kit plugin)
• CVE-2025-65108 (md-to-pdf)
• CVE-2025-58083 (General Industrial Controls Lynx+ Gateway)
• CVE-2025-66489 (Cal.com)
• CVE-2025-12195, CVE-2025-12196, CVE-2025-11838, CVE-2025-12026 (WatchGuard)
• CVE-2025-64113 (Emby Server)
• CVE-2025-66567 (ruby-saml)
• CVE-2025-24857 (Universal Boot Loader)
• CVE-2025-13607 (D-Link DCS-F5614-L1, Sparsh Securitech, Securus CCTV)
• CVE-2025-13184 (TOTOLINK AX1800)
• CVE-2025-65106 (LangChain)
• CVE-2025-67635 (Jenkins)
• CVE-2025-12716, CVE-2025-8405, CVE-2025-12029, CVE-2025-12562 (GitLab CE/EE)
• CVE-2025-64775 (Apache Struts 2)

🌍 Wokół świata cyberbezpieczeństwa

U.K. ukarał LastPass za naruszenie danych z 2022 roku — Brytyjski organ ochrony danych, ICO, nałożył na brytyjskiego podmiot LastPass karę w wysokości 1,2 miliona funtów (około 1,6 miliona dolarów) za naruszenie danych w 2022 roku, które umożliwiło hakerom dostęp do osobistych informacji klientów, w tym zaszyfrowanych skarbców haseł. Hakerzy uzyskali dostęp do środowiska deweloperskiego firmy, wykorzystując zhakowany laptop MacBook Pro programisty, a następnie wydobywając ponad tuzin repozytoriów. ICO stwierdziło, że LastPass nie wdrożył wystarczających środków technicznych i bezpieczeństwa, a także że klienci mieli prawo oczekiwać, że ich dane będą przechowywane w sposób bezpieczny.

APT-C-60 atakuje Japonię za pomocą SpyGlace — Actorzy zagrożeń związani z APT-C-60 zostali połączeni z atakami cybernetycznymi wymierzonymi w Japonię, aby dostarczać złośliwe oprogramowanie SpyGlace, korzystając z e-maili phishingowych podszywających się pod osoby poszukujące pracy. Agencja JPCERT/CC zauważyła, że ataki trwały od czerwca do sierpnia 2025 roku.

🔧 Nowe narzędzia cyberbezpieczeństwa

Strix — Małe narzędzie open-source, pomagające programistom w tworzeniu interfejsów linii poleceń (CLI) w prostszy sposób.

Heisenberg — Narzędzie open-source, które sprawdza stabilność oraz bezpieczeństwo pakietów wykorzystywanych w projektach. Pomaga zespołom w identyfikacji ryzykownych lub podatnych komponentów.

🔚 Podsumowanie

W tym tygodniu zwróciliśmy uwagę na wiele istotnych poprawek, jednak same informacje nie zapewnią ochrony — konieczne jest ich wdrożenie. Hakerzy działają szybko, więc nie odkładaj aktualizacji. Poświęć chwilę teraz, aby przejrzeć swoje systemy i wkroczyć w weekend z poczuciem bezpieczeństwa przed nadchodzącymi zagrożeniami.