یک عامل تهدید با انگیزه مالی، به توسعه و توزیع بدافزار رباینده اطلاعات (Infostealer) مبتنی بر جاوااسکریپت (JavaScript) با نام PhantomRaven از طریق مخزن پکیج npm پرداخته است. واحد عملیات مقابله با تهدیدات شرکت CrowdStrike در گزارشی جدید اعلام کرده است که با اطمینان بالا، توسعه این بدافزار با کمک یک مدل زبانی بزرگ (LLM) انجام شده است. این ارزیابی بر اساس شواهدی مانند کامنت‌های بسیار مفصل، کدهای Placeholder و الگوهای آماری حاصل از تحلیل توکن‌ها صورت گرفته است. یافته‌های جدید درباره PhantomRaven نشان می‌دهد استفاده از مدل‌های زبانی بزرگ در توسعه بدافزارها می‌تواند فرآیند طراحی و آماده‌سازی آن‌ها را برای عوامل تهدید تسهیل کند.
شرکت WordPress با انتشار یک پچ امنیتی، آسیب‌پذیری موجود در هسته خود را برطرف کرده است که با باز شدن یک لینک دست‌کاری‌شده توسط ادمینی که به حساب کاربری خود وارد شده، می‌تواند امکان نصب خودکار یک قالب از مخزن رسمی WordPress.org را بدون نیاز به تأیید کاربر فراهم کند. پژوهشگران شرکت امنیتی pwn.ai این زنجیره حمله را Click2Shell نامیده‌اند. بررسی‌های آن‌ها نشان می‌دهد که زنجیره‌سازی این آسیب‌پذیری با یک آسیب‌پذیری جداگانه در قالب نصب‌شده، می‌تواند منجر به اجرای کد دلخواه مهاجم روی سرور شود. آسیب‌پذیری اصلی در زنجیره حمله Click2Shell از شدت بالا برخوردار است و امتیاز 7.1 در معیار CVSS دارد؛ این آسیب‌پذیری در نسخه 7.1.1 وردپرس برطرف شده است.
یک آسیب‌پذیری بحرانی با شناسه CVE-2026-77179 در Docker Sandboxes شناسایی شده است که به کد مخرب اجراشده در ماشین مجازی (VM) روی مک‌اواس (macOS) اجازه می‌دهد از دایرکتوری پروژه به‌اشتراک‌گذاشته‌شده خارج شود و فایل‌های دیگر سیستم میزبان را بخواند یا تغییر دهد.
این آسیب‌پذیری Docker Sandboxes، نسخه‌های 0.28.0 تا پیش از 0.42.0 را در مک‌اواس تحت تأثیر قرار می‌دهد و امکان فرار از محیط سندباکس (Sandbox Escape) را با سطح دسترسی حساب کاربری میزبان فراهم می‌کند. داکر در 7 سپتامبر با انتشار نسخه 0.42.0 این ضعف امنیتی را پچ کرد و در 15 سپتامبر جزئیات آن را در یک اطلاعیه امنیتی به اطلاع کاربران رساند.
آسیب‌پذیری بحرانی پلاگین Bricksforge وردپرس با شناسه CVE-2026-85097 و امتیاز 10 از 10 در سیستم CVSS، به‌طور فعال در حملات مورد سوءاستفاده قرار گرفته است. طبق گزارش Patchstack، این ضعف امنیتی به مهاجمان بدون احراز هویت اجازه می‌دهد کد دلخواه PHP را در وب‌سایت‌های آسیب‌پذیر وردپرسی آپلود و اجرا کنند؛ موضوعی که می‌تواند منجر به اجرای کد از راه دور (RCE) شود. این آسیب‌پذیری نسخه‌های 3.1.8.9 و قدیمی‌تر پلاگین Bricksforge را تحت تأثیر قرار می‌دهد و پچ امنیتی آن در نسخه 3.1.8.10 منتشر شده است.
یک آسیب‌پذیری بحرانی در WSO2 API Manager با شناسه CVE-2026-5430 اکنون در حملات واقعی هدف تلاش‌های فعال برای سوءاستفاده قرار گرفته است. این آسیب‌پذیری با امتیاز 9.8 از 10 در CVSS ناشی از اعتبارسنجی نادرست امضای رمزنگاری‌شده (Improper Verification of Cryptographic Signature) است و می‌تواند با دور زدن احراز هویت JWT، کنترل حساب کاربری را در اختیار مهاجم قرار دهد. یافته‌های watchTowr نشان می‌دهد که WSO2 API Manager و محصولات مرتبط با آن تحت تأثیر این آسیب‌پذیری هستند و مهاجمان می‌توانند با استفاده از توکن‌های JWT جعلی، به سطح دسترسی ادمین دست پیدا کنند. به همین دلیل، کاربران نسخه‌های آسیب‌پذیر باید هرچه سریع‌تر پچ‌های امنیتی منتشرشده را نصب کنند.
یک فریم‌ورک بدافزاری ناشناخته با نام BambooToken که دست‌کم از سال 2023 فعال است، با بهره‌گیری از پروتکل MQTT برای ارتباطات فرماندهی و کنترل (C2)، سیستم‌های ویندوز و لینوکس را هدف قرار داده است. بررسی‌های جدید نشان می‌دهد BambooToken در نسخه‌هایی که طی سال‌های 2024 و 2025 توسعه یافته‌اند، به سرورهای مورد استفاده در اپلیکیشن‌های موبایل، سرویس‌های حقوقی و مالی و محیط‌های توسعه نرم‌افزار نفوذ کرده و از طریق ارتباطات مبتنی بر MQTT، دستورات مهاجمان را به سیستم‌های آلوده منتقل می‌کند.
سیسکو هشدار داده است که یک آسیب‌پذیری بحرانی جدید در نرم‌افزار AsyncOS مربوط به گیت‌وی امن ایمیل سیسکو (Cisco Secure Email Gateway) شناسایی شده است و اکنون در حملات واقعی به‌طور فعال مورد سوءاستفاده قرار می‌گیرد. این آسیب‌پذیری با شناسه CVE-2026-76461 و امتیاز 9.8 از 10 در سیستم CVSS، ناشی از اعتبارسنجی ناکافی در منطق پردازش ایمیل (Email Parsing Logic) است و می‌تواند به مهاجم احراز هویت‌نشده و از راه دور اجازه دهد دستورات دلخواه را با سطح دسترسی Root روی سیستم‌عامل زیرین دستگاه اجرا کند. این ضعف امنیتی هر دو نوع فیزیکی و مجازی گیت‌وی امن ایمیل سیسکو را تحت تأثیر قرار می‌دهد.
گروهی از هکرهای مرتبط با چین در یک کمپین فیشینگ هدفمند، با سوءاستفاده از آسیب‌پذیری‌های امنیتی پچ‌شده در گوگل کروم و مایکروسافت ویندوز، یک زنجیره اکسپلویت روز صفر (Zero-Day) را برای استقرار بدافزار GRIMWEDGE به کار گرفته‌اند. این عملیات که توسط شرکت Volexity به گروه تهدید UTA0560 نسبت داده شده است، در اول سپتامبر 2026 چندین سازمان غیردولتی را هدف قرار داد. مهاجمان با فرار از سندباکس (Sandbox) مرورگر، امکان تزریق کد به پردازه کروم و اجرای کد دلخواه را فراهم کردند و در ادامه، بدافزار GRIMWEDGE را روی سیستم‌های هدف مستقر کردند؛ بدافزاری که قابلیت‌هایی مانند شناسایی سیستم، مدیریت فایل‌ها و پردازه‌ها، اجرای دستورات و دریافت پیلودهای بیشتر را در اختیار مهاجمان قرار می‌داد.
سازمان امنیت سایبری و زیرساخت آمریکا (CISA) اعلام کرده است که گروه‌های باج‌افزاری از آسیب‌پذیری VMware vCenter با شناسه CVE-2026-59310 سوءاستفاده می‌کنند. این آسیب‌پذیری در سرور Syslog نرم‌افزار VMware vCenter قرار دارد و به مهاجمان احراز هویت‌نشده اجازه می‌دهد با بهره‌گیری از پیمایش مسیر (Directory Traversal)، کد دلخواه را از راه دور(RCE) اجرا کنند. شرکت Broadcom این آسیب‌پذیری بحرانی را در 29 جولای پچ کرده بود، اما تداوم حملات باعث شد CISA آن را به فهرست KEV اضافه کند.
پژوهشگران امنیتی شرکت ExPatch از شناسایی یک آسیب‌پذیری در تلگرام دسکتاپ (Telegram Desktop) خبر دادند که به بات‌ها (Bot) اجازه می‌داد کد مخفی جاوااسکریپت (JavaScript) را در پیام خود قرار دهند. این کد پس از ارسال پیام در تاریخچه چت باقی می‌ماند و هنگام ذخیره چت به‌صورت فایل HTML، به این فایل نیز منتقل می‌شد. این پیام در تلگرام کاملاً عادی به نظر می‌رسید و تنها یک لینک قابل کلیک داشت؛ اما کد مخفی آن زمانی قابل اجرا بود که کاربر فایل HTML را در یک مرورگر وب باز می‌کرد. این کد در صورت اجرا می‌توانست تمام پیام‌های موجود در فایل را به سرور تحت کنترل مهاجم ارسال کند یا محتوای نمایش‌داده‌شده در صفحه را تغییر دهد. تلگرام در ماه جولای با انتشار یک پچ امنیتی، این آسیب‌پذیری را برطرف کرد؛ بااین‌حال، فایل‌های HTML ایجادشده با نسخه‌های قدیمی تلگرام دسکتاپ همچنان ممکن است کد مخفی را در خود داشته باشند.
یک عامل تهدید با انگیزه مالی، به توسعه و توزیع بدافزار رباینده اطلاعات (Infostealer) مبتنی بر جاوااسکریپت (JavaScript) با نام PhantomRaven از طریق مخزن پکیج npm پرداخته است. واحد عملیات مقابله با تهدیدات شرکت CrowdStrike در گزارشی جدید اعلام کرده است که با اطمینان بالا، توسعه این بدافزار با کمک یک مدل زبانی بزرگ (LLM) انجام شده است. این ارزیابی بر اساس شواهدی مانند کامنت‌های بسیار مفصل، کدهای Placeholder و الگوهای آماری حاصل از تحلیل توکن‌ها صورت گرفته است. یافته‌های جدید درباره PhantomRaven نشان می‌دهد استفاده از مدل‌های زبانی بزرگ در توسعه بدافزارها می‌تواند فرآیند طراحی و آماده‌سازی آن‌ها را برای عوامل تهدید تسهیل کند.
شرکت WordPress با انتشار یک پچ امنیتی، آسیب‌پذیری موجود در هسته خود را برطرف کرده است که با باز شدن یک لینک دست‌کاری‌شده توسط ادمینی که به حساب کاربری خود وارد شده، می‌تواند امکان نصب خودکار یک قالب از مخزن رسمی WordPress.org را بدون نیاز به تأیید کاربر فراهم کند. پژوهشگران شرکت امنیتی pwn.ai این زنجیره حمله را Click2Shell نامیده‌اند. بررسی‌های آن‌ها نشان می‌دهد که زنجیره‌سازی این آسیب‌پذیری با یک آسیب‌پذیری جداگانه در قالب نصب‌شده، می‌تواند منجر به اجرای کد دلخواه مهاجم روی سرور شود. آسیب‌پذیری اصلی در زنجیره حمله Click2Shell از شدت بالا برخوردار است و امتیاز 7.1 در معیار CVSS دارد؛ این آسیب‌پذیری در نسخه 7.1.1 وردپرس برطرف شده است.
یک آسیب‌پذیری بحرانی با شناسه CVE-2026-77179 در Docker Sandboxes شناسایی شده است که به کد مخرب اجراشده در ماشین مجازی (VM) روی مک‌اواس (macOS) اجازه می‌دهد از دایرکتوری پروژه به‌اشتراک‌گذاشته‌شده خارج شود و فایل‌های دیگر سیستم میزبان را بخواند یا تغییر دهد.
این آسیب‌پذیری Docker Sandboxes، نسخه‌های 0.28.0 تا پیش از 0.42.0 را در مک‌اواس تحت تأثیر قرار می‌دهد و امکان فرار از محیط سندباکس (Sandbox Escape) را با سطح دسترسی حساب کاربری میزبان فراهم می‌کند. داکر در 7 سپتامبر با انتشار نسخه 0.42.0 این ضعف امنیتی را پچ کرد و در 15 سپتامبر جزئیات آن را در یک اطلاعیه امنیتی به اطلاع کاربران رساند.
آسیب‌پذیری بحرانی پلاگین Bricksforge وردپرس با شناسه CVE-2026-85097 و امتیاز 10 از 10 در سیستم CVSS، به‌طور فعال در حملات مورد سوءاستفاده قرار گرفته است. طبق گزارش Patchstack، این ضعف امنیتی به مهاجمان بدون احراز هویت اجازه می‌دهد کد دلخواه PHP را در وب‌سایت‌های آسیب‌پذیر وردپرسی آپلود و اجرا کنند؛ موضوعی که می‌تواند منجر به اجرای کد از راه دور (RCE) شود. این آسیب‌پذیری نسخه‌های 3.1.8.9 و قدیمی‌تر پلاگین Bricksforge را تحت تأثیر قرار می‌دهد و پچ امنیتی آن در نسخه 3.1.8.10 منتشر شده است.
یک آسیب‌پذیری بحرانی در WSO2 API Manager با شناسه CVE-2026-5430 اکنون در حملات واقعی هدف تلاش‌های فعال برای سوءاستفاده قرار گرفته است. این آسیب‌پذیری با امتیاز 9.8 از 10 در CVSS ناشی از اعتبارسنجی نادرست امضای رمزنگاری‌شده (Improper Verification of Cryptographic Signature) است و می‌تواند با دور زدن احراز هویت JWT، کنترل حساب کاربری را در اختیار مهاجم قرار دهد. یافته‌های watchTowr نشان می‌دهد که WSO2 API Manager و محصولات مرتبط با آن تحت تأثیر این آسیب‌پذیری هستند و مهاجمان می‌توانند با استفاده از توکن‌های JWT جعلی، به سطح دسترسی ادمین دست پیدا کنند. به همین دلیل، کاربران نسخه‌های آسیب‌پذیر باید هرچه سریع‌تر پچ‌های امنیتی منتشرشده را نصب کنند.
یک فریم‌ورک بدافزاری ناشناخته با نام BambooToken که دست‌کم از سال 2023 فعال است، با بهره‌گیری از پروتکل MQTT برای ارتباطات فرماندهی و کنترل (C2)، سیستم‌های ویندوز و لینوکس را هدف قرار داده است. بررسی‌های جدید نشان می‌دهد BambooToken در نسخه‌هایی که طی سال‌های 2024 و 2025 توسعه یافته‌اند، به سرورهای مورد استفاده در اپلیکیشن‌های موبایل، سرویس‌های حقوقی و مالی و محیط‌های توسعه نرم‌افزار نفوذ کرده و از طریق ارتباطات مبتنی بر MQTT، دستورات مهاجمان را به سیستم‌های آلوده منتقل می‌کند.
سیسکو هشدار داده است که یک آسیب‌پذیری بحرانی جدید در نرم‌افزار AsyncOS مربوط به گیت‌وی امن ایمیل سیسکو (Cisco Secure Email Gateway) شناسایی شده است و اکنون در حملات واقعی به‌طور فعال مورد سوءاستفاده قرار می‌گیرد. این آسیب‌پذیری با شناسه CVE-2026-76461 و امتیاز 9.8 از 10 در سیستم CVSS، ناشی از اعتبارسنجی ناکافی در منطق پردازش ایمیل (Email Parsing Logic) است و می‌تواند به مهاجم احراز هویت‌نشده و از راه دور اجازه دهد دستورات دلخواه را با سطح دسترسی Root روی سیستم‌عامل زیرین دستگاه اجرا کند. این ضعف امنیتی هر دو نوع فیزیکی و مجازی گیت‌وی امن ایمیل سیسکو را تحت تأثیر قرار می‌دهد.
گروهی از هکرهای مرتبط با چین در یک کمپین فیشینگ هدفمند، با سوءاستفاده از آسیب‌پذیری‌های امنیتی پچ‌شده در گوگل کروم و مایکروسافت ویندوز، یک زنجیره اکسپلویت روز صفر (Zero-Day) را برای استقرار بدافزار GRIMWEDGE به کار گرفته‌اند. این عملیات که توسط شرکت Volexity به گروه تهدید UTA0560 نسبت داده شده است، در اول سپتامبر 2026 چندین سازمان غیردولتی را هدف قرار داد. مهاجمان با فرار از سندباکس (Sandbox) مرورگر، امکان تزریق کد به پردازه کروم و اجرای کد دلخواه را فراهم کردند و در ادامه، بدافزار GRIMWEDGE را روی سیستم‌های هدف مستقر کردند؛ بدافزاری که قابلیت‌هایی مانند شناسایی سیستم، مدیریت فایل‌ها و پردازه‌ها، اجرای دستورات و دریافت پیلودهای بیشتر را در اختیار مهاجمان قرار می‌داد.
سازمان امنیت سایبری و زیرساخت آمریکا (CISA) اعلام کرده است که گروه‌های باج‌افزاری از آسیب‌پذیری VMware vCenter با شناسه CVE-2026-59310 سوءاستفاده می‌کنند. این آسیب‌پذیری در سرور Syslog نرم‌افزار VMware vCenter قرار دارد و به مهاجمان احراز هویت‌نشده اجازه می‌دهد با بهره‌گیری از پیمایش مسیر (Directory Traversal)، کد دلخواه را از راه دور(RCE) اجرا کنند. شرکت Broadcom این آسیب‌پذیری بحرانی را در 29 جولای پچ کرده بود، اما تداوم حملات باعث شد CISA آن را به فهرست KEV اضافه کند.
پژوهشگران امنیتی شرکت ExPatch از شناسایی یک آسیب‌پذیری در تلگرام دسکتاپ (Telegram Desktop) خبر دادند که به بات‌ها (Bot) اجازه می‌داد کد مخفی جاوااسکریپت (JavaScript) را در پیام خود قرار دهند. این کد پس از ارسال پیام در تاریخچه چت باقی می‌ماند و هنگام ذخیره چت به‌صورت فایل HTML، به این فایل نیز منتقل می‌شد. این پیام در تلگرام کاملاً عادی به نظر می‌رسید و تنها یک لینک قابل کلیک داشت؛ اما کد مخفی آن زمانی قابل اجرا بود که کاربر فایل HTML را در یک مرورگر وب باز می‌کرد. این کد در صورت اجرا می‌توانست تمام پیام‌های موجود در فایل را به سرور تحت کنترل مهاجم ارسال کند یا محتوای نمایش‌داده‌شده در صفحه را تغییر دهد. تلگرام در ماه جولای با انتشار یک پچ امنیتی، این آسیب‌پذیری را برطرف کرد؛ بااین‌حال، فایل‌های HTML ایجادشده با نسخه‌های قدیمی تلگرام دسکتاپ همچنان ممکن است کد مخفی را در خود داشته باشند.
