GSocket: rejtett hátsó ajtó feltört PHP-tárhelyeken

A Wiz szerint a felhőkörnyezetek 64%-ában van sebezhető Apache-példány, 51%-ában internetről elérhető is (ez a beállítást nem veszi figyelembe). ❓ A kihasználhatóságról ellentmondanak a források: a Red Hat szerint egy nyilvános kutatás megbízható támadási módszert mutat, a Wiz szerint viszont nincs elérhető exploit, és támadást sem láttak. A RHEL 9 javított csomagja a mod_http2-2.0.26-7.el9_9.1. A különálló mod_h2 modulnál (2.0.8–2.0.42) a h2/h2c kikapcsolása az egyetlen biztos megoldás. A teendő nem változott: 2.4.71 vagy a disztribúció javított csomagja, vagy a h2/h2c kivétele a Protocols sorból.

A WSJ szerint gyorsan szaporodnak az „okos” eszközök (kamerák, tévék, nyomtatók, hűtők) elleni támadások, mert az AI automatizálja a sebezhetőségek keresését. Európában például szupermarketek fagyasztóit „fűtötték fel” távolról. Egy ilyen eszköz gyakran csak a belépési pont: onnan a támadó a helyi hálózat többi gépére is továbbléphet. A legolcsóbb védekezés, ha az IoT-eszközök külön hálózatrészen (VLAN) vannak, ahonnan nem kezdeményezhetnek kapcsolatot a fő hálózat felé.

Egy megosztott QA-prompt azt a gyakori hibát célozza, hogy az AI-val épített oldal asztali gépen jól néz ki, telefonon és gyenge térerőnél viszont szétesik. Előbb valódi böngészőt kell adni a Claude Code-nak a Chrome DevTools MCP szerverrel. Ez különböző képernyőszélességet, érintést és lassított (3G-s) hálózatot tud utánozni, és képernyőképet is készít. A prompt: „Test this in the browser at different widths, with touch emulation, and on a throttled 3G connection. Fix anything that looks broken or feels off. Save a before and after screenshot for every fix and send me a summary afterwards.”

Az Aikido friss adatai szerint a támadók 4837 feltört fiókból 61 764 repóban nyitottak „próba” PR-t, és legalább 1835 repóban le is futott a kártevő. A GitHub Actions titkai mellett kifejezetten az AI-szolgáltatók (Anthropic, OpenAI, Gemini) kulcsait is gyűjti. Hamis „sikeres” állapotjelzéssel (status check) átjut az ágvédelmen, és az AWS- és Azure-fiókokban tartós hozzáférést hagy. Közben a GitHub már a lefutott Actions-naplókban is keresi a kiszivárgott kulcsokat (secret scanning), és a riasztás a napló törlése után is megmarad. Az Ars Technica is feldolgozta a Claude Code „Don't ask again” kulcsszivárgását (lásd nov. 12 / K1).

A Google új modellje gyors, olcsóbb végrehajtásra készült: 1 M tokenes kontextus, 1,50 / 7,50 $ millió bemeneti/kimeneti token után. A Google szerint 2,5-ször gyorsabb a Gemini 3.8 Flash-nél, és négy gondolkodási szintje van (low, medium, a high az alapértelmezett, valamint xhigh). A Neuron ajánlott munkamódja: a legerősebb modell számozott lépéstervet ír, minden lépéshez „kész, ha…” ellenőrzéssel; a gyors modell lépésenként végrehajt, és csak a hibás lépés megy vissza a nagy modellhez. A tervező prompt magyarul: „Ezt a feladatot lépésenként egy gyors modellnek adom át, ehhez írd meg a tervet. Feladat: [mi a feladat, és milyen a kész állapot]. Bontsd számozott lépésekre; mindegyikhez adj önmagában érthető utasítást, a korábbi lépésekből szükséges bemenetet és egysoros »kész, ha…« ellenőrzést. Jelöld, melyik lépés igényel valódi mérlegelést.” ❓ A sebességi adatok a Google saját mérései. Simon Willison és az Anthropic mérnökei szerint új modellnél nem a tokenár, hanem a feladatonkénti költség a jó mérőszám.

Észak-koreai csalók AI-val átalakított felvételekkel ismerős kollégának adták ki magukat videóhívásban, majd „technikai hibát” színleltek, és egy újracsatlakozó linkkel kártevőt telepítettek. 18 hónap alatt több mint 400 M dollárnyi kriptovalutát loptak, az FBI lekapcsolta az infrastruktúrát. Bármilyen szervezet munkatársainak érdemes elmondani: hívás közben kapott „javító” linket vagy programot soha ne telepítsenek (a nov. 13 / F1 folytatása). (WSJ Pro Cybersecurity, The Neuron)

A Europol 235 szervert és 257 domaint kapcsolt le; a Gootloader kártevő feltört WordPress-oldalakra tett hamis „jogi dokumentumokkal” fertőzött. A Unit 42 szerint az AI-alapú támadóeszközök (pl. ARTEX) sebezhetőség nélkül, nyilvános jelszó-visszaállító oldalakon és közzétett API-leírásokon át jutnak be. Ezért a jelszó-visszaállítás legyen sebességkorlátozott, a forrástérkép-fájlok és API-leírások pedig ne legyenek nyilvánosak. WordPress-oldalon érdemes megnézni, korlátozza-e a biztonsági bővítmény a wp-login.php?action=lostpassword kéréseket. (TLDR InfoSec)

A Decider v1.3 és a Decider Flash v1.3 igen/nem és többosztályos címkézésre ad valószínűséget, szövegre és képre. A nov. 13 / K2 Gemini Decisions API mellett ez a második felhős lehetőség nagy tömegű szöveg olcsó előszűrésére. Kérdés, melyik olcsóbb és pontosabb magyar szövegen; ezt néhány tucat saját mintán érdemes összevetni. (TLDR AI · perplexity.ai/hub/blog/perplexity-decider)

Nov. 12-én az Outlook, a Teams és az Intune is leállt, a végére a Microsoft felhőszolgáltatásainak nagy része. Az ok egy túlterhelt szerverfolyamat és a sikertelen állapotellenőrzések voltak. Kérdés a szervezeteknek: van-e tartalék csatorna, ha a levelezés egy napig nem működik? (TLDR IT, TLDR, TechCrunch ×2)