সাইবার নিরাপত্তার সর্বশেষ খবর, ঘটনা এবং এআই মডেলের অগ্রগতি, ভুক্তভোগী ও গবেষকদের জন্য আইনি হোয়াইট-হ্যাট সীমার মধ্যে পর্যবেক্ষণ ও বিশ্লেষণ। অনুপ্রবেশ বা এক্সপ্লয়েটের পদ্ধতি নেই।
- Cyberattack response: country-by-country guides
Nine country guides, local-language editions and downloadable non-executable BPMN response processes.
- Cyberattack response for companies in the United States
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United States.
- Cyberattack response for companies in the United Kingdom
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United Kingdom.
- Cyberattack response for companies in Canada
Evidence, reports, counsel, insurance and public communications after a cyberattack in Canada.
- Cyberattack response for companies in Australia
Evidence, reports, counsel, insurance and public communications after a cyberattack in Australia.
- Cyberattack response for companies in Germany
Evidence, reports, counsel, insurance and public communications after a cyberattack in Germany.
- Cyberattack response for companies in France
Evidence, reports, counsel, insurance and public communications after a cyberattack in France.
- Cyberattack response for companies in the Netherlands
Evidence, reports, counsel, insurance and public communications after a cyberattack in the Netherlands.
- Cyberattack response for companies in Singapore
Evidence, reports, counsel, insurance and public communications after a cyberattack in Singapore.
- Cyberattack response for companies in Japan
Evidence, reports, counsel, insurance and public communications after a cyberattack in Japan.
- Cybersecurity daily — 1 November 2026: MCP migration and corrected extension scope
Smithery's connection-management shutdown date has arrived; Cursor's notice also names 2.1.312. Distinguish planned shutdown, observed operation and verification time.
- Cybersecurity daily — 31 October 2026: extension removal is not incident recovery
Cursor extension follow-up, Wasmtime UDP authorization bypass, and updated AWS Brotli mitigation status. Check host privileges, network authorization and deployed patches.
- Cybersecurity daily — 30 October 2026: verify enforcement beyond configuration
Clerk adds passkeys as a second factor; an older PDF MCP authentication flaw enters the advisory database. Verify enforcement, not just settings and logs.
- Cybersecurity daily — 29 October 2026: verify that Brotli patches are active
AWS details Brotli mitigation: phased Lambda rollout, Node.js 24 verification, container rebuilds and upstream-response decoding.
- Cybersecurity daily — 28 October 2026: separate detection, delegation and runtime authorization
Zuma/Agent Gateway runtime authorization and Socure Agent Intelligence: distinguish release stages and authority boundaries.
- Cybersecurity daily — 27 October 2026: the boundary around agent-managed IAM
Google Cloud introduces IAM Helper. Separate diagnostics and simulation from permission changes, and verify the approval-to-execution boundary.
- Why Faster Cybercrime Intake May Not Reduce Case Backlogs
Public Japanese statistics and an explicit queueing model show why faster intake may shift a bottleneck downstream. Evidence preservation, international assistance, and deterrence require distinct measurements.
- Crypto fraud and theft: Japanese requests for Canadian asset restraint and seizure
For Japanese victims and receiving police officers: RCMP cooperation, formal central-authority requests, evidence and translations, procedural-stage conditions and asset return.
- Prompt injection is not SQL injection: the NCSC design lesson
The NCSC blog says prompt injection is not SQL injection: current large language models do not separate instructions from data, and the risk may never be fully removed the way parameterized queries remove SQL injection (https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection). The NCSC news warns that the comparison is dangerous and challenges claims that the issue can be stopped (https://www.ncsc.gov.uk/news/mistaking-ai-vulnerability-could-lead-to-large-scale-breaches). Design lesson only. Not an attack guide and not legal advice.
- EU AI Act-এর Article 50 লেবেল নিয়ে ক্লায়েন্টদের কী বলবেন
Commission-এর Article 50 পৃষ্ঠা ইন্টারঅ্যাকশন নোটিশ, মেশিন-পাঠ্য মার্কিং এবং ডিপ-ফেক প্রকাশের জন্য প্রদানকারী ও deployer-দের দায়িত্ব আলাদা করে (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50)। একটি আইন-প্রতিষ্ঠানের সতর্কবার্তা বলে, সেই দায়িত্বগুলো 2 August 2026-এ প্রযোজ্য হয়েছে এবং উচ্চ-ঝুঁকির নিয়মের সঙ্গে পিছিয়ে দেওয়া হয়নি (https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force)। সাধারণ তথ্য, আইনি পরামর্শ নয়।
- শিল্পের কর্মপ্রবাহ অনুসরণ করা সাইবার নিরাপত্তা অনুশীলন
24টি শিল্প দৃষ্টি, 18টি প্রযুক্তিগত পৃষ্ঠ এবং আটটি অফলাইন অনুশীলন, যা CTF শেখাকে ধারাবাহিকতা, মেরামত এবং পুনরুদ্ধারের সঙ্গে যুক্ত করে।
- এআই ভিডিও, কণ্ঠের ছদ্মবেশ এবং কর্তৃত্বের সীমানা
Tavus, প্রতিবেদিত এআই অপব্যবহার, এবং গ্রহণকারীদের আলাদা করে পরীক্ষা করা উচিত এমন পরিচয়, সম্মতি ও টুল কর্তৃত্বের সীমানার একটি উৎসযুক্ত পর্যালোচনা।
- System One Coding: সিদ্ধান্তের মাধ্যমে কোড রচনা
টাইপযুক্ত ব্লক, পর্যায়ক্রমিক যাচাই, মাপা তুলনা, এবং একটি নিবন্ধিত বিনামূল্যের পাইলট।
- অ্যাকাউন্ট দখল হয়ে গেলে: পুলিশের কাছে পরামর্শের আগে বানানোর 「সময়রেখা সারণি」 ও 「প্রমাণ তালিকা」 (কপি করে ব্যবহার করা যায়)
অ্যাকাউন্ট দখলের পর, না মুছে যা রাখতে হয়। কপি করার সময়রেখা ও প্রমাণ তালিকা। তারপর আপনার দেশের পুলিশ বা সাইবার অপরাধের রিপোর্ট পরিষেবা, এবং আপনার ব্যাংক বা পেমেন্ট প্রদানকারীর সঙ্গে যোগাযোগ করুন।
- ক্রিপ্টো সম্পদের প্রতারণায় পড়লে: পুলিশ ও এক্সচেঞ্জে নিয়ে যাওয়ার 「রেমিট্যান্স সারণি」 বানানোর উপায়
ক্রিপ্টো বা বিনিয়োগ প্রতারণায়, আরও রেমিট্যান্স বা «উদ্ধারকারী»র কাছে যাওয়ার আগে, প্রতিটি পরিশোধ ও বার্তা ১ পাতায় রাখুন। তারপর আপনার দেশের পুলিশ বা সাইবার অপরাধের রিপোর্ট পরিষেবা, আপনার ব্যাংক বা পেমেন্ট প্রদানকারী, এবং এক্সচেঞ্জের সঙ্গে যোগাযোগ করুন। এই পাতা উদ্ধারের প্রতিশ্রুতি দেয় না।
- IC3 অভিযোগের ওয়ার্কশিট: জমা দেওয়ার আগে যা জড়ো করবেন (ক্রিপ্টো ও অনলাইন প্রতারণা)
FBI-এর IC3 যা চায় তার প্রতিটি ঘর প্রস্তুত করুন — ক্ষতি, লেনদেনের হ্যাশ, অন্য পক্ষের বিবরণ, হেডার — তারপর একটি সম্পূর্ণ অভিযোগ জমা দিন এবং নিজের কপি রাখুন।
- একটি এন্টারপ্রাইজের টুইন কেন দরকার, এবং Mithril কীভাবে তা দেয়
প্রোডাকশন সেই জায়গা নয় যেখানে শেখা যায় কে একটি সংবেদনশীল সিস্টেমে পৌঁছাতে পারে, একটি প্রত্যাখ্যান কেমন দেখায়, বা চলমান ক্লাস্টারটি ঘোষিত ক্লাস্টারের সঙ্গে মেলে কি না। টুইন সেই নামগুলো রাখে এবং ফলাফল প্রয়োগ করে না। Mithril সেই টুইনকে একটি নথি করে: রিভার্স-ডোমেইন উপাদানগুলো মিলে যায়, একটি রান প্রতিক্রিয়া ও সিদ্ধান্ত ফেরায়, এবং ক্লাস্টারটি চালু না করে পর্যবেক্ষণের সঙ্গে মিলিয়ে দেখা হয়।
- চুরি হওয়া চাবি নয়, এক ঘণ্টায় $351 মিলিয়ন — Bitget-এর হট-ওয়ালেট লঙ্ঘন এবং অনুমোদন প্রবাহের বিশ্বাসের সীমা
Bitget 25 সেপ্টেম্বর নিশ্চিত করেছে যে 24 সেপ্টেম্বর 18:31 UTC-এ ধরা অনুমতিহীন স্থানান্তরে তার হট ও ওয়ার্ম ওয়ালেটের কিছু অংশ থেকে প্রায় $351.6 মিলিয়ন বেরিয়ে গেছে। এর অফলাইন কোল্ড ওয়ালেট প্রভাবিত হয়নি বলে জানানো হয়েছে, উত্তোলন থামানো আছে, এবং এক্সচেঞ্জ বলে তার $464 মিলিয়ন User Protection Fund পুরো ক্ষতি ঢাকে। Bitget-এর বর্ণনায়, আক্রমণকারী private key নেয়নি, বরং একটি ব্যাকএন্ড সিস্টেমে পৌঁছে লেনদেনের ডেটা নকল করে অনুমোদন প্রবাহকে তহবিল ছাড়াতে ঘুরিয়েছে। আমরা Lazarus আরোপের প্রশ্ন এবং এই পর্যবেক্ষণাগার সাম্প্রতিক সপ্তাহে যে ব্যবস্থাপনা ও পরিচয় প্লেন কভার করেছে তার সঙ্গে সমরূপতা দেখি।
- যে সপ্তাহে পরিচয় প্রদানকারী নিজেই পড়ল — F5 BIG-IP APM OAuth জিরো-ডে (CVE-2026-94127) এবং ব্যবস্থাপনা ও পরিচয় প্লেনে KEV-এর ঘনত্ব
F5 22 সেপ্টেম্বর প্রকাশ করেছে যে BIG-IP APM-এর OAuth পথে একটি গুরুতর জিরো-ডে (CVE-2026-94127, CVSS 9.8) অপ্রমাণিত দূরবর্তী কোড কার্যকরের অনুমতি দেয়, এবং বন্য পরিবেশে শোষণ নিশ্চিত করেছে। CISA একই দিনে এটি KEV ক্যাটালগে যোগ করেছে, ফেডারেল সময়সীমা 25 সেপ্টেম্বর। Arista VCO এবং Check Point-এর 2টি ব্যবস্থাপনা-সার্ভার ত্রুটিও সেদিন KEV-তে ঢুকেছে — আমরা সীমানা যন্ত্রের ব্যবস্থাপনা ও পরিচয় প্লেনে হামলার অভিসারণ পরীক্ষা করি।
- যে সপ্তাহে স্থানীয় রুটের পথ একসঙ্গে খুলে গেল — Linux কার্নেল LPE, প্রকাশ্য এক্সপ্লয়েট আসার সঙ্গে CISA-এর KEV ক্যাটালগে
18 সেপ্টেম্বর CISA 3টি সক্রিয়ভাবে শোষিত Linux কার্নেল ত্রুটি (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) KEV ক্যাটালগে যোগ করেছে এবং Red Hat নিশ্চিত করেছে যে প্রকাশ্য এক্সপ্লয়েট কোড আছে। একই দিনে, 4টি কার্নেল LPE-এর (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) কার্যকর এক্সপ্লয়েট সমন্বিত প্রকাশের অধীনে প্রকাশিত হয়েছে। আমরা পরীক্ষা করি কেন শেয়ার্ড-হোস্ট বিশেষাধিকার বৃদ্ধি সীমানা যন্ত্রের পরে আলোচনায় আসছে।
- সর্বোচ্চ তীব্রতার প্রমাণীকরণ বাইপাস পরিচয় কর্তৃপক্ষকেই আঘাত করে — Cisco ISE CVE-2026-76460 এবং সীমানা-যন্ত্র রুট আপসের পুনরাবৃত্ত ধরন
Cisco ISE / ISE-PIC প্রমাণীকরণ বাইপাস CVE-2026-76460 (CVSS 10.0) সক্রিয় শোষণে আছে। CISA 16 সেপ্টেম্বর এটি KEV ক্যাটালগে যোগ করেছে, ফেডারেল প্রতিকারের সময়সীমা 19 সেপ্টেম্বর; কোনো ওয়ার্কঅ্যারাউন্ড নেই এবং iACL কেবল প্রশমন। আমরা সীমানা-যন্ত্র রুট-আপসের ধরন পরীক্ষা করি — 14 সেপ্টেম্বর প্রকাশিত Secure Email Gateway জিরো-ডে (CVE-2026-76461)-এর সমান্তরালে — এবং এর অর্থ যখন আপস হওয়া যন্ত্রের নিজের লগ আর প্রাথমিক উৎস থাকে না।
- এআই গেটওয়ে হামলার পৃষ্ঠ হয়ে ওঠে — LiteLLM-এর KEV তালিকা এবং চাবি, MCP, ও ক্লাউডের মধ্য দিয়ে পথ
BerriAI LiteLLM-এর MCP প্রমাণীকরণ বাইপাস (CVE-2026-59822) CISA-এর KEV ক্যাটালগে এসেছে, এবং Microsoft জানায় আক্রমণকারীরা XMRig পৌঁছাতে LiteLLM গেটওয়ে ব্যবহার করছে। Wiz গবেষণায় দেখা গেছে প্রায় 3,000 প্রকাশ্য ইনস্ট্যান্সের মধ্যে প্রায় 1-এর মধ্যে 10টি ডিফল্ট চাবি sk-1234 গ্রহণ করেছে বা প্রমাণীকরণ ছাড়া চলেছে। আমরা পরীক্ষা করি এআই অবকাঠামো যে ক্রেডেনশিয়ালের ভাণ্ডার, তার অর্থ কী।
- যখন এজেন্টের দেহ ছিনতাই হয় — একটি এক্সটেনশন পাঁচটি পণ্যে এআই সহকারী চালায়
Forever Security দেখিয়েছে যে একটি সাধারণ ব্রাউজার এক্সটেনশন পাঁচটি পণ্যের অন্তর্নির্মিত এআই চালাতে পারে — Chrome, Comet, Edge, Opera Neon, এবং Claude। আলাদাভাবে, Mandiant জানিয়েছে একজন আক্রমণকারী একটি এআই কোডিং-সহকারী সেশন ছিনতাই করে প্রায় 100 রিপোজিটরিতে Shai-Hulud ওয়ার্ম ছড়িয়েছে। আমরা এজেন্টিক রানটাইমের বিশ্বাস সীমা মানচিত্র করি।
- "প্যাচ গ্যাপ" জিরো-ডে শৃঙ্খল — Chromium-এ ঠিক, Chrome-এ এখনো অসংশোধিত দুর্বলতা 1 সপ্তাহে একাধিক গুপ্তচর গোষ্ঠী ভাগ করে নিয়েছে
Chrome-এর V8 স্যান্ডবক্স থেকে বেরোনো ও Windows ALPC অপব্যবহারকে শৃঙ্খলিত করা BlueMoon হামলা শৃঙ্খল, Volexity-এর পর্যবেক্ষণে, অন্তত একাধিক চীন-উৎস ক্লাস্টার ভাগ করে নিচ্ছিল। Chromium-এ সংশোধন ঢুকেছিল কিন্তু স্থিতিশীল Chrome-এ এখনো প্রতিফলিত হয়নি, এই "প্যাচ গ্যাপ"-এর বিপদ সাজানো হয়।
- ভিসি সংক্ষেপ: SYN Ventures — অপারেটর-নেতৃত্বাধীন সাইবারনিরাপত্তা বিশেষজ্ঞ তহবিল
$900M AUM-এর, প্রাক্তন CISO ও প্রতিষ্ঠাতাদের তৈরি অপারেটর-নেতৃত্বাধীন তহবিল। আমরা এর 2টি তহবিল ও প্রায় 40-কোম্পানির পোর্টফোলিও mithril.fund-এর অবস্থানের সামনে রাখি।
- Cisco Secure Email Gateway জিরো-ডে CVE-2026-76461 — যখন ইমেইল-পার্সিং SQL ইনজেকশন রুট কার্যকরে শেষ হয়
CVE-2026-76461 (CVSS 9.8) সক্রিয়ভাবে শোষিত হচ্ছে এবং CISA-এর KEV ক্যাটালগে যোগ হয়েছে। আমরা পুনরাবৃত্ত "সীমানা যন্ত্রের রুট আপস" ধরন খুলি — এবং এর অর্থ যখন যন্ত্রের নিজের লগ আর বিশ্বাস করা যায় না।
- নিরাপত্তা পর্যবেক্ষণাগার ব্লগের পরিচিতি
সাইবারনিরাপত্তা সংবাদ, ঘটনা এবং এআই-মডেলের বিকাশের দৈনিক পর্যবেক্ষণ ও বিশ্লেষণ এখানে প্রকাশিত হয়।
- ইমেইল গেটওয়ের পিছন-দরজা দিয়ে অননুমোদিত ফাইল লেখা — FortiMail zero-day CVE-2026-104286 এবং IBE ফিচার
১ অক্টোবর Fortinet FortiMail-এ path traversal zero-day (CVE-2026-104286, CVSS 9.8) প্রকাশ করেছে, যা সনদহীন (unauthenticated) আকাঙ্ক্ষিত ফাইল লেখার সুযোগ দেয়, এবং বাস্তব ব্যবহার নিশ্চিত করেছে। CISA একই দিনে KEV ক্যাটালগে যুক্ত করেছে, ফেডারেল সময়সীমা ৪ অক্টোবর। প্রভাবিত চারটি ব্রাঞ্চের কোনোটিতেই সংশোধিত রিলিজ প্রকাশিত হয়নি, তাই IBE বন্ধ রাখা সাময়িক উपाয — সেপ্টেম্বরের শেষের KEV বৃদ্ধির সঙ্গে এটি দেখছি।
- স্ক্যামের ভুক্তভোগী থেকে এন্টারপ্রাইজ white hat: সাইবার নিরাপত্তার প্রেক্ষাপটের একটি মানচিত্র (2026)
তেরোটি বিভাগ, স্ক্যাম ভুক্তভোগীদের সহায়তা থেকে এন্টারপ্রাইজ নিরাপত্তা পরীক্ষা পর্যন্ত, ঘোষিত ক্ষতি, ঘোষিত অর্থায়ন, প্রকাশক অনুসারে বাজার পূর্বাভাস, এবং Mithril কোথায় তার সৎ অবস্থাসহ।
- SAML-নির্ভর NetScaler মেমরি ওভারফ্লো — CVE-2026-88779 KEV-এ অন্তর্ভুক্ত (সময়সীমা ৭ অক্টোবর)
Citrix NetScaler ADC / Gateway-এ একটি মেমরি-বফার-বাউন্ডস ত্রুটি (CVE-2026-88779, CVSS v4.0 8.7, CWE-119) প্রকাশ করেছে। Citrix জানিয়েছে যে তারা অমিটিগেটেড ডিপ্লয়মেন্টের বিরুদ্ধে লক্ষ্যভিত্তিক হামলা পর্যবেক্ষণ করেছে, যা ডেনিয়াল-অফ-সার্ভিসের দিকে যেতে পারে। CISA-র KEV তালিকাভুক্তি এই দুর্বলতার শোষণ প্রতিষ্ঠা করে, এবং তার সংক্ষিপ্ত বিবরণ বলে যে ত্রুটিটি ডেনিয়াল-অফ-সার্ভিস ঘটাতে পারে। কোনো উৎসই নিশ্চিত করে না যে প্রভাবিত ডিপ্লয়মেন্ট সত্যিই বন্ধ হয়ে গেছে। CISA ৪ অক্টোবর এটি যোগ করেছে, ফেডারেল সময়সীমা ৭ অক্টোবর। ২৭ সেপ্টেম্বর যোগ করা CVE-2026-88771 ও CVE-2026-88772-এর সঙ্গে, এটি দুই সপ্তাহের মধ্যে যোগ হওয়া তৃতীয় NetScaler KEV এন্ট্রি, এই পণ্যের সর্বকালের তৃতীয় এন্ট্রি নয় (আগের এন্ট্রির মধ্যে CVE-2023-4966 আছে)। Global Deny List সিগনেচার (v24 বা পরবর্তী) সাময়িক সমাধান, সংশোধন 14.1-73.41 / 13.1-64.28 বা পরবর্তীতে।
- Unauthenticated API access in Cisco Catalyst SD-WAN Manager — CVE-2026-76504 Added to KEV (Due October 3)
Cisco published CVE-2026-76504 (CVSS 3.1 9.8 per Cisco, CWE-177) in advisory cisco-sa-sdwan-webauth-xr8beuuU: improper URI-encoding handling in the API session-based authentication management of Cisco Catalyst SD-WAN Manager can let an unauthenticated remote attacker reach the API with admin privileges. CISA added it to KEV on September 30, 2026, with a federal due date of October 3. Fixed releases start at 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 (earlier branches migrate). No known workarounds exist; interim mitigation is restricting internet access to trusted hosts, plus the optional Live Protect shield. Cisco has confirmed exploitation in the wild.
- Apple CoreGraphics zero-day added to KEV — CVE-2026-86950, report of exploitation in an extremely sophisticated targeted attack (Due October 2)
On September 28, 2026, Apple released iOS 26.7.1 / iPadOS 26.7.1 / macOS Tahoe 26.7.1 / macOS Sequoia 15.8.1, fixing an out-of-bounds write (CVE-2026-86950, CWE-787) in CoreGraphics. Processing a maliciously crafted file may lead to arbitrary code execution; Apple says it is aware of a report that the issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on iOS versions before iOS 27. CISA added the vulnerability to KEV on September 29, 2026, with a federal due date of October 2 (forensicTriage Yes). The CISA-ADP CVSS 3.1 base is 8.8 (High). The fix is the listed releases only; the primary sources reviewed for this post state no interim workaround.
- Binance: 'No wallet key leaked' - the largest hot-wallet incident on record (10/29) and first observations
From the night of October 29 UTC Binance disclosed a security incident involving unauthorized withdrawals from its hot wallets. Its verified frozen total stood at $2.54B (23:22Z) and then 'around $3 billion' (10/30 00:52Z); it states it will cover all losses and suspended deposits and withdrawals. Its initial investigation 'may involve a compromised DevOps engineer's laptop' through which an attacker reached a service container and submitted unauthorized withdrawal transactions, with no evidence of a wallet private-key leak. Reported stolen amounts range $5.6B-$6.3B with no confirmed total. This article records the first passive observation of 0x3E2bf1ac6bf0934BBba6456C341c2EcbCED632d5 (named by ZachXBT after the Arbitrum Security Council's ~$30.5M freeze; first tx 10/29 21:29:47Z, 3 EVM txs, 0.0038 ETH) the on-chain verification of the Arbitrum freeze transaction (from = the address itself), and two converging third-party attribution claims (TRM Labs: TraderTraitor; Specter: commingling with the DPRK-attributed Bitget exploit via THORChain).