Hírolvasó

A hiba sikeres kihasználása az alapértelmezett beállítások esetén a szerver újraindulását is előidézheti, ami így DoS állapotot okozhat; az Address Space Layout Randomization (ASLR) letiltott állapota esetén pedig akár távoli kódfuttatáshoz is vezethet. A CVE-2026-42945 sérülékenységet – melyet múlt héten patchelt az NGINX – a hétvége folyamán aktívan kihasználták. A hibát NGINX Rift néven emlegetik, […]

A Discord bejelentette, hogy a platformon keresztül folytatott hang- és videóhívásokat mostantól alapértelmezés szerint végpontok közötti titkosítással (E2EE) védik. Az E2EE támogatás bevezetése még márciusban fejeződött be. A Discord egy népszerű online közösségi platform, amely az üzenetek küldésén túl, illetve a hang-és videóhívások mellett közösségi szervereket kínál játékok, alkotók, vállalkozások és egyéb érdeklődési körön alapuló […]

Ismét megrendezésre került a Pwn2Own Berlin kiberbiztonsági verseny, ahol ezúttal is biztonsági kutatók mérhették össze tudásukat valós rendszerek feltörésén keresztül. A háromnapos esemény végére a résztvevők összesen több mint 1,29 millió dollár jutalmat vihettek haza, miután 47 zero-day sérülékenységet sikerült kihasználniuk. A verseny az OffensiveCon konferencián zajlott május 14. és 16. között, és kifejezetten modern, […]

2026 áprilisa és májusa között a Linux kernel közössége egy szokatlan eseménysorozatot élt át. Néhány hét leforgása alatt öt súlyos kernelsérülékenység vált ismertté, amelyek mindegyike a legnépszerűbb Linux disztribúciókat érinti. A Copy Fail, a Dirty Frag, a Fragnesia, ssh-keysign-pwn és a DirtyDecrypt egymástól eltérő technikai mechanizmusokon alapulnak, de közös vonásuk, hogy helyi, alacsony jogosultságú felhasználók […]

A Microsoft csütörtökön kockázatcsökkentő intézkedéseket adott ki egy súlyos Microsoft Exchange Server sérülékenységgel kapcsolatban, amelyet a támadók már aktívan kihasználnak. A hiba lehetővé teheti, hogy a támadók speciálisan kialakított webes tartalmak segítségével rosszindulatú kódot futtassanak az Outlook on the Web (OWA) felhasználóinak böngészőjében. A CVE-2026-42897 azonosítójú sérülékenység az Exchange Server 2016, Exchange Server 2019, valamint […]

Az elmúlt napokban számos adatvédelmi incidens került fel az Egyesült Államok Egészségügyi és Humán Szolgáltatások Minisztériuma (HHS) által vezetett egészségügyi adatvédelmi incidenseket figyelemmel kísérő nyilvántartásba. Bár az incidensek az elmúlt hónapokban következtek be, az általuk érintett személyek számát csak most hozta nyilvánosságra a HHS. A legsúlyosabbak között szerepel a még márciusában bejelentett New York City […]

Overview

Three vulnerabilities have been discovered in the SGLang project, two enabling remote code execution (RCE), and one regarding a path traversal vulnerability. In order for an attacker to exploit these vulnerabilities, the multimodal generation mode must be enabled, and an attacker must have network access to the SGLang service. No patch is available at this time, and no response was obtained from the project maintainers during coordination.

Description

SGLang is an open-source framework for serving large language models (LLMs) and multimodal AI models, supporting models such as Qwen, DeepSeek, Mistral, and Skywork, and is compatible with OpenAI APIs. Three vulnerabilities have been discovered within the tool and are tracked as follows:

CVE-2026-7301
The multimodal generation runtime scheduler's ROUTER socket contains a sink that calls pickle.loads() on incoming messages, enabling RCE when exposed to the internet.

This vulnerability is distinct from CVE-2026-3060 and CVE-2026-3059, which would be open to the Internet via the ZMQ broker, which automatically binded to all network interfaces without user awareness. CVE-2026-7301 is exposed to the internet by default through the scheduler host, which binds to 0.0.0.0 by default.

CVE-2026-7302
The multimodal generation runtime is vulnerable to an unauthenticated path traversal vulnerability, allowing an attacker to write arbitrary files anywhere the server process has write access, by including ../ sequences in the upload filename when sent to specific endpoints.

CVE-2026-7304
The multimodal generation runtime is vulnerable to unauthenticated remote code execution when the --enable-custom-logit-processor option is enabled, as Python objects loaded via dill.loads() will be deserialized without validation.

Impact

If exploited, these vulnerabilities could allow an unauthenticated attacker to achieve remote code execution or arbitrary file writes on the host running SGLang. Deployments that expose the affected interface to untrusted networks are at the highest risk of exploitation.

Solution

Until a patch is available, affected users should consider the following mitigations:

Mitigation

• Restrict access to the service interfaces and ensure they are not exposed to untrusted networks.
• Implement network segmentation and access controls to prevent unauthorized interaction with the vulnerable endpoints.

Acknowledgements

Thanks to the reporter, Alon Shakevsky. This document was written by Christopher Cullen.

Az elmúlt hetek ellátásiláncokat célzó támadási kampánya során több nyílt forráskódú projekt is célkeresztbe került, a kiberbűnözők az eltérített legitim alkalmazások frissítéseivel terjesztik rosszindulatú programjaikat. Múlt hét szerdán az OpenAI megerősítette, hogy két alkalmazottjának eszköze is érintett a támadásban, a vizsgálatok szerint azonban nem szereztek hozzáférést a felhasználói adatokhoz és a rendszerhez, illetve nem került […]

Egy biztonsági kutató 2026 májusában két új, eddig ismeretlen sebezhetőséget hozott nyilvánosságra. A YellowKey és a GreenPlasma névre keresztelt exploitok különösen veszélyesek, mert nem csupán egy egyszerű programhibát tárnak fel, hanem egyes szakértők szerint arra utalhatnak, hogy a rendszerbe szándékosan beépített „hátsó ajtó” is létezhet. A BitLocker a Microsoft Windows operációs rendszer beépített lemeztitkosítási funkciója, […]

Az Egyesült Királyság adatvédelmi hatósága, az Information Commissioner’s Office (ICO) 963 900 fontos bírságot szabott ki a South Staffordshire Water vízszolgáltatóra egy súlyos kibertámadás miatt, amelynek során a támadók közel két éven át észrevétlenül maradtak a vállalat hálózatában. Az incidens során 633 887 ügyfél és alkalmazott személyes adatai szivárogtak ki. A vizsgálatok szerint a szervezet […]

Az autógyártó webshopján lévő sérülékenység kihasználásával a támadók hozzáfértek a felhasználók nevéhez, lakcíméhez, e-mail címéhez és telefonszámukhoz. A támadás felfedezése után a Skoda azonnal leállította a webáruházát, kijavította a kihasznált biztonsági rést, felülvizsgálta a meglévő biztonsági mechanizmusait, és külső szakértőket is igénybe vett a vizsgálat segítésére – mindemellett értesítette az illetékes hatóságokat is. Az autógyártó […]

A ShinyHunters kiberbűnözői csoport 2019 óta aktív, elsősorban felhők konfigurációs hibáit, ellopott OAuth tokeneket, supply chain támadásokat és 0-day sérülékenységeket használnak arra, hogy az áldozataiktól adatokat lopjanak, majd pedig ezen adatok nyilvánosságra hozatalával zsarolják őket. Ha az érintett vállalatok nem fizetik ki a követelt összeget, akkor a megszerzett adatokat a dark weben árverezik el. A […]

Alig néhány órája számoltunk be arról, hogy a hírhedt, npm csomagokat célzó féreg újra aktívan terjed, és úgy tűnik, igen gyorsan újabb szintet lépett.

A különféle social engineering és adathalász támadások elleni védelem jegyében a Signal új, alkalmazáson belüli értesítéseket és figyelmeztetéseket vezet be, amelyek célja, hogy elegendő időt biztosítsanak a felhasználóknak a megkeresések valódiságának ellenőrzéséhez. Ez a fejlesztés egy, a közelmúltbeli Signal felhasználókat célzó támadási kampány ([1], [2]) elleni védekezéshez adott válaszfunkció. Az elkövetők feltehetően orosz állami támogatású […]

Áprilisban már hírt adtunk a Shai-Hulud ellátásilánc-támadási kampányról, amely most új szintre lépett, és mára egy sokkal kiterjedtebb kompromittálási hullámmá nőtte ki magát.