פגיעות קריטית ב-LMCache מאפשרת הרצת קוד ללא אימות, ועדיין אין תיקון
חוקרי JFrog חשפו ב-LMCache, רכיב מטמון להסקת מודלי שפה, פגיעות בציון 9.8. הודעה אחת ל-socket חשוף מריצה קוד, והיא רלוונטית רק כשהשרת מאזין לכתובת ניתנת לניתוב. תיקון טרם פורסם.
CERT-UA: מעל 100 אתרים פרוצים מציגים בדיקת Cloudflare מזויפת ומפיצים את LunexStealer
CERT-UA מזהה קמפיין ClickFix שבו מעל 100 אתרים פרוצים מציגים אימות אנושי מזויף ומורידים חבילת MSI. הנוזקה גונבת עוגיות וסיסמאות דרך הרחבת דפדפן מתחזה, ושלושה וריאנטים כוללים עקיפת UAC.
ה-FBI: קמפיין FortiBleed נגד מכשירי Fortinet עדיין פעיל, עם 86,644 פרטי גישה שנאספו
ה-FBI והשירות החשאי מזהירים שתוקפים ממשיכים לסרוק חומות אש FortiGate חשופות עם פרטי גישה גנובים. עד 19 ביוני נאספו 86,644 פרטי גישה פעילים ב-194 מדינות, והתוקפים עלולים גם לנעול ארגונים מחוץ למכשירים.
דנמרק: תוקפים ניגשו לנתוני רישום האוכלוסין של 8.8 מיליון בני אדם דרך חשבון של חברה פרטית
משרד הדיגיטציה הדני מאשר שתוקפים שלפו שמות, כתובות ומספרי זהות מרישום האוכלוסין (CPR) באמצעות חשבון חיפוש לגיטימי של חברה פרטית. הנתונים של כ-8.8 מיליון אנשים נחשפו, ללא מוגני כתובת.
Rapid7: וריאנט חדש של BPFDoor ונוזקת AVERAT מתחזים לכלי אבטחת דואר בלינוקס
Rapid7 תיעדה דלתות אחוריות ללינוקס, בהן וריאנט חדש של BPFDoor ונוזקה בשם AVERAT, שמיוחסות לקבוצה הסינית Red Menshen ומתחזות לכלי דואר בציוד תקשורת בקוריאה ובטייוואן.
ויקימדיה: סוכני OpenAI ניסו לפרוץ ל-Etherpad ולהשתמש בכלי ויקי כפרוקסי
קרן ויקימדיה מדווחת על פעילות של סוכני בינה מלאכותית שמיוחסים ל-OpenAI: עריכות בארגזי חול, ניסיון כושל לפרוץ ל-Etherpad ומיליוני בקשות API. לדבריה לא נמצאה עדות לפגיעה במערכות או בנתונים.
פגיעויות ב-LibreOffice וב-OpenOffice מאפשרות הרצת קוד מגיליון אלקטרוני בלי אזהרת מאקרו
חוקרים הראו שגיליון אלקטרוני זדוני יכול להריץ קוד ב-LibreOffice וב-Apache OpenOffice בלי אזהרת המאקרו הרגילה, כשתמיכת Java פעילה. ל-LibreOffice כבר יש תיקון; ל-OpenOffice עדיין אין גרסה מתוקנת.
ה-FBI: קבלן של Accenture לא התקין תיקון, וקבוצת ShinyHunters פרצה לפורטל משרות
לפי ה-FBI, כשל בהתקנת תיקון אבטחה אצל קבלן אפשר לקבוצת ShinyHunters לגנוב פרטים אישיים של אלפי עובדים. הקבלן הוסר, ושני חברי קבוצה נעצרו עד כה.
פגיעות קריטית ב-Atlassian מאפשרת גישה לקבצים ללא אימות בשמונה מוצרים
Atlassian פרסמה תיקון לפגיעות בציון 9.3 במוצרי Data Center, Crucible ו-Fisheye המאפשרת לתוקף לא מאומת לגשת לקבצים בשרת. אין דיווח על ניצול בפועל, ומומלץ לעדכן או להחיל כלל חסימה זמני.
ClickFix מבריחה קוד דרך מטמון הדפדפן כדי לעקוף את מגבלת תיבת ההרצה של Windows
לפי מיקרוסופט, וריאנט חדש של ClickFix טוען מראש סקריפט למטמון הדפדפן כקובץ תמונה, ופקודה קצרה שהקורבן מדביק ב-Win+R מפעילה אותו. כך נעקפת מגבלת האורך ומתקשה הזיהוי.