indexed-btree adlı zararlı npm paketi, yaşam döngüsü betikleri yerine çalışma zamanı koduna gizlenmiş yükleyiciyle tespit edildi. Paket milyonlarca indirme topladıktan sonra kaldırıldı ve tehdit aktörünün kripto para kazancı elde ettiği belirlendi. Aynı dönemde PolinRider kampanyasının Packagist'te yeniden aktif olduğu da açıklandı.
N-able, N-central platformundaki kritik kimlik doğrulamasız uzaktan kod çalıştırma açığı için beş hafta içinde dördüncü acil durum yamasını yayınladı. Açığın aktif olarak istismar edilmesi üzerine CISA, zafiyeti KEV kataloğuna ekleyerek federal kurumlara 11 Eylül'e kadar yama zorunluluğu getirdi. Şirket, tüm yerel kurulumların vakit kaybetmeden güncellenmesi gerektiğini vurguladı.
OWASP, modern çağa uygun yeni bir güvenlik listesi yayınladı ve AI eklentilerine tutarlılık ve güvenlik eklemek için Evrensel Beceri Formatı'nı tanıttı. Bu liste, AI becerileri risklerini vurguluyor.
Zcash'ın Tachyon yükseltmesi kuantum hazırlığı ve gizli ödemeleri ölçeklendirme hedefiyle dikkat çekerken, Bitcoin ve Ethereum ağlarında kritik yazılım hataları ve staking değişiklikleri sektörün gündemini oluşturuyor.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Yazılım Malzeme Listesi (SBOM) alanlarında iki düzineye yakın değişiklik içeren yeni bir rehber yayımladı. Değişiklikler SBOM'ları daha kapsamlı hale getirse de, bazı uzmanlar çerçevenin gerçek risk yönetimi iyileştirmelerinden yoksun olduğunu savunuyor.
Popüler yapay zeka destekli kodlama platformu Cursor IDE'de, zehirli depolardan kötü amacılı kodun otomatik olarak çalıştırılmasına olanak tanıyan bir güvenlik açığı keşfedildi. Araştırmacılar, Aralık ayında Cursor'a bildirdikleri açığın hâla düzeltilmediğini ve saldırganlar tarafından kullanılabileceğini belirtiyor.
Yapay zeka destekli kodlama araçları, kullanıcı başına aylık 19 ila 200 dolar arasında değişen maliyetler sunarken, güvenlik taraması, düzeltme ve yanlış pozitifler gibi gizli maliyetler de beraberinde geliyor. Peki bu araçların sağladığı üretkenlik artışı, güvenlik risklerine değer mi?
Boeing destekli otonom hava taksi girişimi Wisk Aero, eski çalışanı Briahna O'Neill tarafından dava edildi. O'Neill, araç yönetim sistemindeki güvenlik açıklarını raporlamasına rağmen işten atıldığını ve şirketin ilk uçuş hedefini tutturmak için yazılım testlerini kasıtlı olarak hızlandırdığını iddia ediyor.
Güvenlik borcuyla boğuşan siber güvenlik ekipleri için yanıt aranan iki temel soru var: Sistemlerdeki hangi açıklar saldırılara karşı savunmasız ve bu açıklar ne kadar süre böyle kalabilir? Veracode'un kurucusu Chris Wysopal, odağı bu iki soruya çekmenin güvenlik borcunu eritmenin en kestirme yolu olduğunu savunuyor.
Eğitim sektörünü hedef alan siber saldırganlar strateji değiştirdi: Doğrudan okullara saldırmak yerine artık bu okulların bağımlı olduğu EdTech yazılım şirketlerine yöneliyorlar. Dark Reading'in Reporters' Notebook video serisi, bu tedarik zinciri tehditini ve eğitim kurumları için yarattığı zorlukları mercek altına alıyor.
Siber güvenlik araştırmacıları, 'Cordyceps' adını verdikleri yeni bir CI/CD güvenlik açığını ortaya çıkardı. Zararlı pull request'ler üzerinden işleyen bu zafiyet; Microsoft, Google, Apache, Cloudflare ve Python Software Foundation'ın önemli projelerini tehlike altına sokuyor.