اخبار داغ امنیت شبکه

🔴 آسیب پذیری P7 DarkSword؛ نسخه تازه کیت بهره‌برداری iOS با سرقت کیف پول‌های ارز دیجیتال و فرمان‌دهی دوطرفه پژوهشگران iVerify از نسخه تازه کیت بهره‌برداری iOS با نام P7 DarkSword خبر داده‌اند که ردپای کمتری روی دستگاه دارد، سرقت کی‌چین و کیف پول‌های ارز دیجیتال را اضافه کرده و فرمان‌دهی دوطرفه با زیرساخت مهاجم را پشتیبانی می‌کند. ایمپلنت هر ۱۵ ثانیه فرمان می‌گیرد و می‌تواند فایل، عکس، یادداشت‌ها و داده‌های کیف پول را استخراج کند. Report URI گزارش داده همین اکسپلویت از طریق دامنه رهاشده یک استارتاپ منحل‌شده چک (ecomtrack.io) که در ۱۵ سپتامبر دوباره ثبت شده، روی فروشگاه‌های آنلاین دارای تگ ردیابی قدیمی توزیع می‌شود. زنجیره، قربانیان را به یک پلتفرم جعلی معاملات ارز دیجیتال هدایت می‌کند که ایمپلنتی برای سرقت پیامک، عکس، موقعیت مکانی و فایل‌های بیش از ۲۵ اپ کیف پول ارائه می‌دهد. جهت مطالعه کامل خبر کلیک کنید 🆔 @TakianCo 🇮🇷

🔴 بازگشت GhostAction؛ ورک‌فلوهای سارق اعتبارنامه در ده‌ها هزار مخزن گیت‌هاب کاشته شدند ازگشت کمپین GhostAction: پژوهشگران StepSecurity، Socket و GitGuardian خبر داده‌اند که از ۷ اکتبر ۲۰۲۶، بیش از ۵۰۰ حساب گیت‌هاب یک ورک‌فلوی مخرب با نام «Security Audit» را در ده‌ها هزار مخزن کاشته‌اند. دو حساب پرنفوذ، از جمله نویسنده موتور بازی pyxel، به‌خطر افتاده و برای ثبت این ورک‌فلو در ده‌ها و صدها مخزن استفاده شده‌اند. این ورک‌فلو، رازهای GitHub Actions، کلیدهای AWS، کلیدهای API سرویس‌های هوش مصنوعی (Anthropic، OpenAI، OpenRouter) و توکن‌های گیت‌هاب و گیت‌لب را — حتی از کل تاریخچه گیت — اسکن و به یک آدرس IP ثابت (193.32.204.199) ارسال می‌کند. در موج پیشین (۳۱ اوت تا ۳۰ سپتامبر)، ۷۷۲ مخزن و ۲٬۵۷۷ راز هدف قرار گرفتند و در یک مورد، ماینر XMRig در یک تصویر داکر جاسازی شد.

🌐 آخرین وضعیت اینترنت ایران: اختلال در بخشی از مسیرهای داخلی و بین‌المللی بررسی تازه‌ترین داده‌های سامانه‌های پایش اینترنت از جمله کاورد، آیودا، رادار کلادفلر و ایران‌بلاک نشان می‌دهد اینترنت ایران در حال حاضر با مشکل عمده سراسری مواجه نیست. اما بخشی از مسیرهای داخلی و بین‌المللی همچنان با افت کیفیت، پکت‌لاس و ناپایداری روبه‌رو هستند و برخی شاخص‌های پایش نیز فاصله‌ هایی با خط پایه معمول خود نشان می‌دهند. 🆔 @Takianco 🇮🇷

🔻 نفوذ گروه باج‌افزاری Warlock به سازمان‌های حیاتی با سوءاستفاده از SharePoint 🔹 گروه باج‌افزاری Warlock با سوءاستفاده از آسیب‌پذیری‌های Microsoft SharePoint موفق شده به شبکه یک شرکت خدمات آب، یک اپراتور مخابراتی، یک نهاد دولتی منطقه‌ای و یک دانشگاه نفوذ کند. 🔹 بررسی‌ها نشان می‌دهد این گروه طی دو ماه اخیر فعالیت خود را علیه سازمان‌های اسپانیایی‌زبان و پرتغالی‌زبان در اروپا، آفریقا و آمریکای لاتین افزایش داده است. ⚠️ این حملات بار دیگر اهمیت به‌روزرسانی و ایمن‌سازی سرورهای SharePoint را نشان می‌دهد. 🆔 @TakianCo 🇮🇷

کاهش شدید سرعت اینترنت طی ۲ روز گذشته پهنای باند اینترنت ایران حدود ۶۰ درصد کم شده است. 🆔@TakianCo 🇮🇷

دبیان یک به‌روزرسانی امنیتی بزرگ برای هسته لینوکس منتشر کرد (DSA-6528-1) که بیش از ۱۳۰۰ آسیب‌پذیری را برطرف می‌کند! https://lwn.net/Articles/1097401 🆔 @Takianco 🇮🇷

🔻 احراز هویت تصویری کاربران حقیقی در ایرنیک الزامی شد 🔹 مرکز ثبت دامنه‌های ‎.ir و دات ایران اعلام کرده احراز هویت تصویری سطح ۲ برای کاربران حقیقی ایرانی الزامی شده و به‌زودی دریافت خدمات تنها برای کاربرانی امکان‌پذیر خواهد بود که این مرحله را تکمیل کرده باشند. 🔹 کاربران حقیقی باید با مراجعه به پنل احراز هویت ایرنیک، فرایند احراز هویت تصویری خود را تکمیل کنند. در غیر این صورت، احتمال اعمال محدودیت در دریافت خدمات وجود خواهد داشت. 🔹 ایرنیک هنوز زمان دقیق اجرای محدودیت‌ها و فهرست خدمات مشمول این محدودیت را اعلام نکرده و تنها از اجرای آن در آینده نزدیک خبر داده است. 🆔 @TakianCo 🇮🇷

🔴 گیت‌لب یک نقص بحرانی با امتیاز ۹.۹ در AI Gateway را وصله کرد؛ راهی به سمت اجرای دستور روی سرورهای خودمیزبانی‌شده گیت‌لب آسیب‌پذیری بحرانی CVE-2026-90970 (امتیاز ۹.۹) در سرویس AI Gateway خود را وصله کرده است؛ نقصی که به یک کاربر وارد‌شده با دسترسی به Duo Agent Platform اجازه می‌داد از طریق یک پیکربندی خاص‌ساخته‌شده جریان سفارشی، از محیط ایزوله قالب دستور فرار کرده و دستورات دلخواه را روی Gateway اجرا کند. این نقص تنها سازمان‌هایی را که خودشان AI Gateway را میزبانی می‌کنند تحت تأثیر قرار می‌دهد و در نسخه‌های ۱۹.۲.۴، ۱۹.۳.۲ و ۱۹.۴.۱ برطرف شده است؛ مشتریان GitLab.com و Gateway‌های میزبانی‌شده توسط خود گیت‌لب نیازی به اقدام ندارند. CISA وضعیت بهره‌برداری از این نقص را «هیچ‌کدام» اعلام کرده است، به این معنا که نه بهره‌برداری فعالی گزارش شده و نه حتی یک کد اثبات مفهوم عمومی منتشر شده.

🔍 پرونده نشت والکس: تحلیل و اعتبارسنجی مستقل نمونه داده‌های این نشت را به‌صورت مستقل و فنی بررسی کردیم. در این بررسی، شش آزمون مستقل اصالت داده‌ها را تایید کرد و در ادامه، اعتبارسنجی انسانی روی نمونه‌ای تصادفی از رکوردها و تطبیق آن‌ها با اطلاعات عمومی شبکه‌های اجتماعی هم انجام شد. گزارش کامل: https://wiki.leakfa.com/wallex-exchange-leak 📌 پیش از انتشار این گزارش، یافته‌ها و جزئیات مربوط به این رخداد را به‌طور کامل با والکس در میان گذاشتیم و موضوع از طریق تیم امنیت این مجموعه نیز پیگیری شد. با این حال، تاکنون والکس هیچ واکنش یا اطلاعیه رسمی و عمومی درباره این موضوع منتشر نکرده است. 🆔 @leakfarsi

حکیمی: اگر استارلینک فراگیر شود، برق را قطع می‌کنیم 🔴معاون وزیر ارتباطات گفت اگر استارلینک بین مردم جا بیفتد، در بحران نمی‌توانیم اینترنت را قطع کنیم. برای همین مجبور می‌شویم برق را کامل قطع کنیم. 🆔@TakianCo 🇮🇷

🔻 والکس: هیچ نفوذی به زیرساخت‌های ما صورت نگرفته است 🔹 در پی انتشار گزارش‌هایی درباره احتمال نشت اطلاعات کاربران والکس، این صرافی با انتشار اطلاعیه‌ای اعلام کرد که ادعاهای مطرح‌شده درباره هک شدن این پلتفرم صحت ندارد. 🔹 والکس اعلام کرده تاکنون هیچ نشانه‌ای از نفوذ یا دسترسی غیرمجاز به زیرساخت‌ها و دارایی کاربران مشاهده نشده و خدمات این صرافی نیز بدون اختلال در حال انجام است. 🔹 این صرافی همچنین تأکید کرده اطلاع‌رسانی‌های رسمی تنها از طریق کانال‌های رسمی والکس انجام خواهد شد 🆔@TakianCo 🇮🇷

🚨 نشت جدید: اطلاعات حساس صدها هزار کاربر صرافی والکس در معرض افشا 🔍 مجموعه‌ای در حدود 750 هزار رکورد از اطلاعات مرتبط با کاربران صرافی ارز دیجیتال «والکس» مربوط به سال‌های 1397 تا 1401، در فهرست فروشندگان بانک‌های اطلاعاتی غیرمجاز مشاهده شده است. این داده‌ها شامل اطلاعات هویتی مانند نام، نام خانوادگی، شماره ملی، تاریخ تولد، شماره تلفن، آدرس، ایمیل، اطلاعات مرتبط با احراز هویت و همچنین اطلاعات مالی از جمله شماره کارت بانکی، شماره شبا، اطلاعات صاحب حساب، آدرس و موجودی کیف‌پول‌های رمزارزی و سایر اطلاعات مرتبط با کاربران است. اطلاعات حساب‌های کارکنان و برخی داده‌های مرتبط با سامانه‌های داخلی نیز در این مجموعه مشاهده شده است. 📌 افشای این اطلاعات می‌تواند زمینه‌ساز فیشینگ هدفمند، کلاهبرداری مالی، مهندسی اجتماعی و سوءاستفاده از اطلاعات هویتی و بانکی کاربران شود. به کاربران توصیه می‌شود در صورت فعال بودن کارت، برای تعویض آن اقدام کنند، نسبت به تماس‌ها، پیام‌ها و لینک‌های مشکوک هوشیار باشند و از ارائه اطلاعات شخصی خود به افراد ناشناس خودداری کنند. ✅ صحت داده‌های ارائه‌شده در بررسی نمونه‌ای تایید شد. 🆔 @leakfarsi

🔻 هشدار امنیتی؛ سوءاستفاده فعال از دو آسیب‌پذیری روزصفر در Citrix NetScaler 🔹 دو آسیب‌پذیری روزصفر در تجهیزات Citrix NetScaler ADC و NetScaler Gateway شناسایی شده که می‌توانند امکان اجرای کد از راه دور (RCE) را برای مهاجمان فراهم کنند. 🔹 بر اساس گزارش شرکت امنیت سایبری watchTowr در ۲۶ سپتامبر، این آسیب‌پذیری‌ها در حال حاضر در حملات واقعی مورد سوءاستفاده قرار گرفته‌اند. 🔹 تاکنون Citrix وجود این آسیب‌پذیری‌ها را به‌صورت رسمی تأیید نکرده و وصله‌ای نیز برای رفع آن‌ها منتشر نشده است. 🔹 در پی این وضعیت، برخی مدیران شبکه برای کاهش ریسک، تجهیزات NetScaler سازمان خود را به‌صورت موقت از مدار خارج کرده‌اند. ⚠️ سازمان‌هایی که از NetScaler ADC یا Gateway استفاده می‌کنند، بهتر است وضعیت تجهیزات خود را با دقت بررسی و تا زمان انتشار اطلاعات رسمی و وصله امنیتی، اقدامات کاهش ریسک مناسب را در نظر بگیرند. 🆔@TakianCo 🇮🇷

❌وضعیت اینترنت کشور 🔴در حال حاضر اینترنت کشور به‌طور کامل قطع نیست، اما اختلال و افت کیفیت در برخی مسیرهای داخلی و بین‌المللی مشاهده می‌شود. 🔴وضعیت: ناپایدار / همراه با اختلال 🔴اینترنت بین‌الملل: دارای اختلال در برخی مسیرها 🆔@TakianCo 🇮🇷

🛜معاون وزیر ارتباطات: اینترنت به وضعیت عادی برگشت 💠رئیس شرکت ارتباطات زیرساخت: اختلال در مسیر ارتباطی بین‌المللی که باعث افت کیفیت اینترنت در ایران شده بود برطرف شد و وضعیت اینترنت به حالت عادی برگشت. @TakianCo 🇮🇷

🔴 چک‌پوینت از یک روز-صفر در سرور مدیریت خبر داد که در حملات هدفمند مورد بهره‌برداری قرار گرفته است چک‌پوینت اعلام کرده مهاجمان از یک آسیب‌پذیری تا پیش از این ناشناخته (روز-صفر) در Security Management Server این شرکت، با شناسه CVE-2026-93616 و امتیاز ۹.۸، در چند حمله هدفمند در ۲۳ ژوئیه بهره‌برداری کرده‌اند. این نقص که از نوع پیمایش مسیر است، به مهاجم بدون نیاز به ورود به سیستم، اجازه اجرای اسکریپت روی سرور را می‌دهد. وصله این نقص در ۲۲ سپتامبر منتشر شده و در مقاله پشتیبانی sk1000171 موجود است. هم‌زمان، چک‌پوینت از تلاش‌های فعال بهره‌برداری از یک نقص VPN دیگر (CVE-2026-85102) خبر داده که از ۱۲ سپتامبر آغاز شده و مشتریان فایروال‌های Spark این شرکت را هدف قرار داده است؛ این تلاش‌ها از زیرساخت‌های ناشناس‌ساز و گواهی‌های مشکوک با موضوعاتی مانند vpn-user و vpnuser استفاده می‌کنند. وصله این نقص از ۹ سپتامبر در دسترس بوده است. جهت مطالعه کامل خبر کلیک کنید 🆔 @TakianCo 🇮🇷

🔴 نصب‌کننده جعلی LastPass Authenticator با درایور امضاشده مایکروسافت، آنتی‌ویروس و EDR را از کار می‌اندازد پژوهشگران LastPass و Delphos Labs از یک نصب‌کننده جعلی LastPass Authenticator خبر داده‌اند که در گیت‌هاب توزیع می‌شود و از یک درایور سطح هسته امضاشده توسط مایکروسافت (Alinubx.sys) برای خاتمه دادن به ۱۴۵ فرایند آنتی‌ویروس و EDR استفاده می‌کند؛ پیش از آن‌که یک سارق اطلاعات به نام Rapuncel، رمزهای عبور بیش از دو دوجین مرورگر، فایل‌های کیف پول ارز دیجیتال، و نشست‌های Discord، Steam و Telegram را جمع‌آوری کند. این درایور، در واقع نسخه‌ای با نام تغییریافته از درایور شناخته‌شده CcProtect.sys است که پیش‌تر در کاتالوگ LOLDrivers فهرست شده بود؛ همین تغییر نام، شناسایی آنتی‌ویروسی آن را از ۷ موتور به صفر رساند و آن را از فهرست مسدودسازی درایورهای آسیب‌پذیر مایکروسافت نیز مخفی نگه داشت. مایکروسافت در پاسخ به گزارش این درایور اعلام کرده این رفتار با تعریف این شرکت از آسیب‌پذیری امنیتی مطابقت ندارد.

🚨 رخداد BGP Hijacking در شبکه شرکت ارتباطات سیار ایران بر اساس داده‌های پایش BGP، در ۲۰ سپتامبر ۲۰۲۶، شبکه AS197207 (MCCI-AS) به‌صورت موقت ۱۹۰ پیشوند IP را اعلام کرد که منجر به ۱۰٬۸۶۵ تداخل با ۱٬۵۲۴ ASN در ۱۰۰ کشور شد. این رویداد در مجموع باعث ایجاد ۱۰٬۸۶۵ تداخل (Conflict) با مسیرهای متعلق به ۱٬۵۲۴ شماره سیستم خودمختار (ASN) در ۱۰۰ کشور شده است. بر اساس داده‌های ثبت‌شده، حداکثر میزان انتشار این مسیرها در شبکه جهانی به ۱۰۰ درصد رسیده است. در میان موارد ثبت‌شده، چندین پیشوند متعلق به شبکه‌های داخل ایران نیز مشاهده می‌شود. برای نمونه، پیشوندهای 94.199.138.0/24، 185.105.236.0/24 و 185.133.244.0/22 در این رویداد درگیر شده‌اند. 🌐 حداکثر انتشار: ۱۰۰٪ ⏱ مدت رخداد: حدود ۸ و ۱۵ دقیقه این رخداد می‌توانست باعث انحراف موقت ترافیک اینترنت، اختلال یا افزایش تأخیر شود. صرفاً از روی این داده‌ها نمی‌توان وقوع شنود یا عمدی بودن رخداد را تأیید کرد و احتمال خطای پیکربندی نیز مطرح است. 🆔 @TakianCo

🔴سولارویندز نقص کلید ثابت کدگذاری‌شده در ARM را وصله کرد؛ راهی به سمت اجرای کد از راه دور بدون احراز هویت شرکت سولارویندز یک آسیب‌پذیری با شدت بالا (امتیاز ۸.۸) در محصول Access Rights Manager را وصله کرده که ناشی از وجود یک کلید ثابت کدگذاری‌شده بوده و می‌توانست به اجرای کد از راه دور بدون نیاز به احراز هویت منجر شود. این نقص با شناسه CVE-2026-28326، تمام نسخه‌های ARM تا ۲۰۲۶.۲ را تحت تأثیر قرار می‌دهد و در نسخه ۲۰۲۶.۲.۱ برطرف شده است. سولارویندز گزارشی از بهره‌برداری فعال این نقص در دنیای واقعی اعلام نکرده است. این وصله، تقریباً دو ماه پس از رفع یک آسیب‌پذیری بحرانی دور زدن احراز هویت SAML (امتیاز ۹.۸) و یک نقص انکار سرویس در Web Help Desk منتشر شده است. سولارویندز هم‌زمان وصله‌هایی برای ۱۶ آسیب‌پذیری دیگر در Serv-U نیز منتشر کرده که می‌توانستند به افزایش سطح دسترسی و ایجاد حساب‌های مدیریتی غیرمجاز منجر شوند. جهت مطالعه کامل خبر کلیک کنید 🆔 @TakianCo 🇮🇷

🔴 انتشار عمومی کد بهره‌بردار برای چهار آسیب‌پذیری هسته لینوکس؛ راهی به سمت دسترسی روت محلی پژوهشگر امنیتی آسیم مانیزاده، کد بهره‌بردار کاربردی برای چهار آسیب‌پذیری هسته لینوکس با نام‌های DirtyAH6، TUNderflow، PPPoEject و DiagSpill منتشر کرده که هرکدام به کاربر محلی امکان دستیابی به دسترسی روت را می‌دهند. این نقص‌ها که خطاهای زیربنایی آن‌ها قدمتی بین ۱۰ تا ۲۱ سال دارد، طی چند هفته اخیر توسط نگهدارندگان هسته برطرف شده‌اند. سه مورد از این چهار نقص، تنها با فعال بودن فضای نام کاربری بدون امتیاز (که در بسیاری از توزیع‌ها پیش‌فرض است) قابل‌دسترسی هستند، در حالی که DiagSpill نیازی به این پیش‌نیاز ندارد. دو مورد (DirtyAH6 و DiagSpill) در شرایط محدود از راه دور نیز قابل تحریک‌اند، اما عمدتاً تنها منجر به کرش سیستم می‌شوند، نه دسترسی کامل. مانیزاده این چهار نقص را با کمک یک ابزار هوش مصنوعی اختصاصی کشف کرده که نقشه مدیریت حافظه هسته را می‌سازد. توصیه اصلی، ارتقای فوری به یکی از نسخه‌های وصله‌شده هسته لینوکس یا بررسی اطلاعیه امنیتی توزیع مورد استفاده است. جهت مطالعه کامل خبر کلیک کنید 🆔 @TakianCo 🇮🇷