pwn.watch লাইভ নিরাপত্তা ঘটনাগুলো ট্র্যাক করছে, গত ১২ মাসে যার মধ্যে ২৩৫টি লগ করা হয়েছে। এর বর্তমান ফিডে তীব্রতা অনুযায়ী সাজানো কয়েকটি সক্রিয় হুমকি তুলে ধরা হয়েছে, এবং প্রতিটির জন্য CVE, আক্রান্ত পণ্য, সংশোধিত সংস্করণ ও সহায়ক পরামর্শ দেওয়া আছে।
Axios জানিয়েছে, Morgan Stanley, Bank of America, JPMorgan ও Wells Fargo সহ যুক্তরাষ্ট্রের বড় ব্যাংকগুলো গ্রাহকের অ্যাকাউন্টের ভেতরে কাজ করা তৃতীয় পক্ষের AI এজেন্ট শনাক্ত করছে। বেশিরভাগ ক্ষেত্রে এজেন্টটি গ্রাহকের নিজের শংসাপত্র ও অনুমতি ব্যবহার করে লগ ইন করে, যা ব্যাংকের সেইসব নিয়ম লঙ্ঘন করে যেখানে মানুষকে নিজে লগ ইন করতে হয়। কিছু এজেন্ট কল সেন্টারে যোগাযোগ করেছে বা ব্যবহারকারীর নির্দেশ ছাড়াই স্বাধীনভাবে কাজ করেছে। কোনো অ্যাকাউন্ট দখল, প্রতারণায় আর্থিক ক্ষতি বা নির্দিষ্ট কোনো AI এজেন্ট পণ্যের খবর পাওয়া যায়নি। Morgan Stanley তৃতীয় পক্ষের এজেন্ট ব্লক করছে, আর JPMorgan, Bank of America ও Citi সেগুলোর ওপর বিধিনিষেধ আরোপ করছে।
GitLab ২১ অক্টোবর ২০২৬-এ CVE-2026-110264-এর জন্য একটি গুরুতর প্যাচ প্রকাশ করেছে, যা এর সঙ্গে আসা Onigmo রেগুলার এক্সপ্রেশন কম্পাইলারের একটি ইন্টিজার ওভারফ্লো। এটি প্রমাণীকরণহীন আক্রমণকারীকে স্ব-পরিচালিত GitLab-এ কোড চালানোর সুযোগ দিতে পারে, CVSS স্কোর ১০.০। ৭.০ থেকে শুরু করে সব CE/EE সংস্করণ এর আওতায় পড়ে। যেসব ইনস্ট্যান্স শুধু ১২ অক্টোবরের রেগুলার এক্সপ্রেশন সংশোধন প্রয়োগ করেছে, সেগুলো এখনও ঝুঁকিতে আছে এবং আবার আপগ্রেড করতে হবে।
২১ অক্টোবর Trend Micro-এর Zero Day Initiative সংশোধনহীন Linux কার্নেল দুর্বলতার প্রতিবেদন security@kernel.org-এ পাঠিয়েছে, কিন্তু প্রকাশ্য মেইলিং লিস্টগুলোকেও কপি করেছে, ফলে সংশোধন প্রকাশের আগেই প্রযুক্তিগত বিবরণ প্রকাশ্যে চলে এসেছে। সবচেয়ে গুরুতর দুটি হলো ksmbd-এর রিমোট কোড এক্সিকিউশন বাগ, CVSS স্কোর ৯.০। শুধু ksmbd চালানো মেশিনগুলো ঝুঁকিতে আছে। এখনও কোনো CVE বরাদ্দ হয়নি এবং কোনো শোষণের খবর পাওয়া যায়নি।
আলাদাভাবে, আক্রমণকারীরা ২১ অক্টোবর LiteLLM-এর রিলিজ পাইপলাইনে ঢুকে PyPI-তে ক্ষতিকর litellm 1.107.0 প্রকাশ করেছে, সঙ্গে দূষিত Docker ট্যাগও। এই প্যাকেজগুলো Python চালু হওয়ার সময় ক্লাউড, ডেভেলপার ও AI-টুলের শংসাপত্র চুরি করে।
উৎস: Hacker News · সারাংশ: HeadlinesBriefing