Nakarating sa 50°C ang isang freezer sa supermarket sa Estonia this week, at hindi ito isang pagkakamali—ito ay isang cyberattack. Anim na bansa ang nasakop sa isang gabi. Ang mga tindahan sa Ireland ay inalis lahat ng kanilang chilled food, ang isang butcher sa Belgium ay itinapon ang mga daan-daang kilo ng karne, at ang ilan sa mga negosyong ito ay patuloy pa ring gumagamit ng default passwords noong 2026. Ito ang hindi nauunawaan ng mga tao tungkol sa cybersecurity—hindi na ito tungkol lang sa iyong crypto o iyong passwords. Isang tao na nakaupo sa isang silid ay maaaring sirain ang buong supply ng pagkain ng isang bansa gamit ang isang laptop. Ang susunod na cyberattack ay hindi mag-aalis ng iyong wallet, maaari itong mag-aalis ng iyong fridge

Maaaring buksan ang iyong telepono ng isang tao gamit ang inilabas na litrato ng iyong mukha, at karamihan sa inyo ay hindi nag-iisip nito. Gumagamit ang karamihan sa mga Android phone ng isang pangunahing 2D camera para sa face unlock, walang infrared, walang depth sensing, kung hindi man ay simpleng paghahambing ng flat na imahe. Patuloy na pinapatunayan ng mga mananaliksik na sapat ang isang simpleng litrato upang bypassin ito. Ito ang “seguridad” na nasa harap ng iyong mga banking app, iyong crypto wallets, iyong seed phrase, at buong buhay mo. At bawat beses mong gamitin ito, binabasa ng iyong front camera ang isang frame ng iyong mukha at itinatabi ito lokal sa system folders na hindi mo pernah binuksan. Hindi encrypted, hindi protektado, simple lang nakatira doon. Kung gumagamit ka ng face unlock sa anumang bagay na hindi flagship na may tamang depth sensing, palitan mo na ng fingerprint o malakas na PIN ngayon. Ang iyong mukha ay ang iisang password na hindi mo kayang i-reset.

Ang app na iyong i-download upang protektahan ang iyong mga account ay maaaring dahilan kung bakit ikaw ay na-hack. May vulnerability ang Microsoft Authenticator sa Android na nagbigay-daan sa mga masasamang app na makuha ang iyong mga access token sa work account nang walang kailangang pahintulot. Isang app na nakaupo sa iyong telepono at gumagawa ng anumang gusto nito. Ang kamalian ay nasa broker component, o ang bahagi na nagdadala ng authentication sa pagitan ng mga app. Hindi ito tama ang pagsusuri, kaya ang anumang random na app ay maaaring pumasok at kunin ang iyong mga token gaya ng mga ito ay nasa kanilang karapatan. Napatch na ng Microsoft ito (CVE-2026-80097, CVSS 8.6 na mataas ang antas ng gravidad), ngunit kung hindi ka pa nag-update ng iyong authenticator app sa nakaraang panahon, maaari pa ring eksposed ka. Ito ang bahagi na nagpapaisip sa akin. Ang mga tao ay nag-download ng authenticator apps dahil sinasabing ito ang ligtas na gawin, at talagang ganun. Ngunit kapag may butas ang sariling security tool, karamihan sa mga tao ay hindi mag-iisip na tingnan ito. I-update ang iyong mga app. Hindi lang ang OS ng iyong telepono, kundi ang mga app mo rin. Lalo na ang mga app na pinakakatiwalaan mo. Dahil sila ang mga app na hindi mo na pinapansin.

Ginawa ko ang isang post tungkol sa nangyayari sa internet ilang araw na ang nakalipas at umabot ito sa 2.3 milyong views. Mula noon, mas lumala pa. Yung vulnerability sa Brotli na nahanap ng walang kamalayang OpenAI? Naging mas malala na. Tinatawag na ngayon ito na HTTP2Shell at nakakaapekto ito sa lahat ng pangunahing browser, lahat ng operating system, at mga app tulad ng Discord, Slack, VSCode, 1Password. Hindi pa nakakapaglabas ng fixes para sa lahat. Sinabi ng CEO ng Cloudflare, “Linggo-linggo, parang bibitaw ang langit.” Tinatayuan na ng Polymarket ang isang betting pool kung may magkakaroon pa ng higit pang malalaking butas na ipapahayag sa buwang ito. Gumamit ang mga hacker ng AI models para automatisahin ang mga serbisyo laban sa 400+ mga banko sa buong Latin America nang sabay-sabay. 24/7, walang pahinga. May bug sa X kung saan maaari mong makalog in sa account ng isang kakaibang tao gamit lang ang iyong numero ng telepono. Nasira ang Keystone hardware wallet sa pamamagitan ng kanilang Shopify API, nalikom ang mga pangalan at home address ng mga customer. Nawala ang isang Japanese cloud company ng 27,000 servers at sinimulan na ng Japan ang military-grade cyber defense para sa unang pagkakataon. I-update ang iyong browser. I-update ang iyong mga app. Palitan ang iyong mga password. I-on ang 2FA sa lahat ng lugar. Hindi pa tapos ang October sa atin.

Isang developer ay naglagay ng $2,000 sa bitcoin sa isang server na may PHP vulnerability at sinabayan ang buong internet na manakwil nito. 17 oras pagkatapos, nananatili pa rin ang pera. Nag-cocrush ang mga tao sa server, ngunit walang makakapag-execute ng exploit. Tandaan mo ba nung isinulat ko tungkol kay Marcus Hutchins na inilabas ang lahat ng fake AI-generated exploits sa GitHub? Ito ang patunay. Ang vulnerability ay totoo. Ngunit ang paggamit nito ay isang buong ibang kuwento. $2,000 na nakaupo sa isang nasirang server at ang buong internet ay hindi makakapag-access nito.

Isang tanging bug ang naglagay sa panganib ang bawat browser, bawat operating system, at halos lahat ng app na ginagamit mo. Ang vulnerability na brotli bug, na nahanap ng pagkakasala ng OpenAI habang red-teaming ang kanilang sariling mga sistema, ay naging mas malaki na mula sa “node2shell” hanggang sa isang bagay na tinatawag ng mga researcher na HTTP2Shell, at ang epekto ay napakalaki. Hindi namin nagsasalita tungkol sa isang library lamang. Tungkol tayo sa lahat ng pangunahing browser—Chrome, Edge, Firefox. Lahat ng operating system kabilang ang iOS. Mga electron apps tulad ng Discord, Slack, VSCode, 1Password, Notion. Mga image tools, PDF readers, archive software, AI desktop apps, kahit ang curl. Bawat bagay na may koneksyon sa internet o nag-aangkop ng compressed data, malamang ay nakaaapekto. Ang orihinal na CVE-2026-111497 ay nagsisilbing masama na—remote code execution na pre-auth sa pamamagitan ng masasamang compressed data. Ngunit ang sakop ay lumawak pa upang sakopin ang halos lahat ng ginagamit mo araw-araw. Ang mga fix ay hindi pa available para sa lahat ng nakaaapektong serbisyo. I-update ang lahat ngayon. Muna ang mga browser, pagkatapos ang desktop apps, tapos ang mga development tools. Kung may update ang isang bagay ngayon, huwag magtanong—i-install mo na lang. Ang internet ay gumagana sa isang nasiraan na pundasyon, at ang mga sugat ay naging mas malaki pa.

Ang isang IT guy ay nag-save sa buong kumpanya mula sa isang ransomware attack sa midnight, at ang kuwento ay pabigat na pabigat. Totoo lang na naglalaro siya ng Netflix nang biglang magkaron ng maraming alerto ang kanyang telepono mula sa server. Nagsi-remote siya at nakakita ng mga file ng kumpanya na nagbabago ng pangalan isa-isa sa real time, lahat ay naging kalituhan. Kinuha niya ang mga susi ng kotse at tumakbo patungo sa opisina tulad ng isang tao na nasa agos. Dumating siya sa 12:20 AM, madilim ang lahat, at naglakad mula sa isang mesa patungo sa isa pa, hinubad ang mga LAN cable mula sa 40 na PC habang kumikinang ang kanyang mga kamay. Ang mensahe sa bawat screen? Bayaran ninyo ang buong monthly profit ninyo sa bitcoin sa loob ng 72 oras. Tinawag ng kanyang boss at sinabi, “Bayaran na lang ninyo, kailangan namin ang mga file para sa Lunes.” Ngunit sinabi niya, “Hindi.” Ang mga kumpanya na nagbabayad ay binubuksan ulit. Tumawag siya sa pagpapabalik gamit ang backup, ngunit nasakop din ang backup server. Parehong network, parehong ransomware. Sinabi niya na nawala ang kanyang isipan. Ngunit may isa pang huling opsyon siya. Tuwing Miyerkules, habang papunta siya bahay, manual niyang binackup ang data ng kumpanya sa isang external hard drive at itinago ito sa kanyang lalagyan ng mesa. Isang ugali na halos niyang itinigil dahil parang walang kwenta. Ang hard drive na iyon sa lalagyan ay nag-save sa buong kumpanya. Ibinawi niya ang lahat sa loob ng weekend, at noong Lunes umaga, lumabas na lahat ng pagpapadala. Tawa ang kanyang boss at sinabi, “Masaya ako na hindi mo ipinadala ang bitcoin.” Isang linggo pa ang nakalipas, dalawang karagdagang hard drive ay dumating sa kanyang mesa. Ang simpleng ugali na walang gustong gawin ang tanging bagay na nagtrabaho.

Nakakita ng isang bug na maaaring kompromiso ang milyon-milyon na server ang OpenAI, at hindi sila naghihintay nito. Tinatanggihan nila ang pag-access ng kanilang AI models sa internet habang nagtatrabaho, at binuo nila ang isang buong offline na mundo para sa kanila. Habang nagrered-team sa setup na iyon, nalapit nila ang isang vulnerability sa Brotli, isa sa mga pinakamalawak na ginagamit na compression library sa internet. Ang kahinaan ay nagpapahintulot sa isang attacker na patakbuhin ang kanilang sariling code sa anumang apektadong sistema sa pamamagitan ng pagpapadala ng masasamang compressed data. Walang kailangang login, walang kailangang account. Ilagay lang at nasa loob ka na. Ang Brotli ay nakabuilt sa Node.js, Bun, Envoy, at halos lahat ng bagay na nag-aayos ng compressed web traffic. Teknikal na nalutas ang bug noong Pebrero, ngunit wala silang alam na ito ay isang security issue noong panahong iyon. Kaya sa ilang buwan, umiiral ang patch ngunit halos walang nag-apply nito dahil tila ito ay isang karaniwang update. minsan, ang pinakamakakatakot na mga pagkakatuklas ay nangyayari kapag hindi ka pa nga naghihintay.

tinatawag nila ito bilang “Black October” at hindi ko iniisip na nauunawaan ng mga tao kung gaano kahalaga ito sa nakalipas na 48 oras, mayroon nang higit sa 27 malalaking insidente sa cybersecurity. hindi sa isang buwan. hindi sa isang linggo. sa 48 oras lamang ang anumang ISA sa mga ito ay karaniwang magiging pinakamalaking balita ng taon PHP: kritikal na vulnerability sa software na nagpapatakbo ng 80% ng web. severity 9.2 out of 10 Node.js: mataas na severity na flaw na nagpapahintulot sa mga attacker na kunin ang mga server nang malayo. nakakaapekto sa mga bersyon 22, 24, at 26 Java: din kompromiso. tatlo sa pinakamalalaking programming languages sa mundo na tinamaan nang sabay-sabay GitLab: perfect 10 out of 10 severity hole sa lahat ng bersyon mula 2014 Railway: compromised na hosting platform. posibleng inilabas ang API keys para sa OpenAI, Claude, Stripe Signal: isang bug na maaaring manatili ang iyong mic at camera nang huli mong ihang up WordPress: hinuli ng mga hacker ang mga key ng isang plugin maker at itinanim ang backdoors sa mga website LiteLLM: isang AI tool na i-download 3.4 milyon beses araw-araw ay nasiraan ng password stealer at hindi pa ito kalahati ng listahan ayon sa mga ulat, libu-libong AI agent swarms ay sumisirap at sumasalakay sa mga vulnerable na server ngayon. automated. 24/7 mga security researcher ang nagsasabi na maaaring ito ay ang maagang yugto ng isang global na cyber incident na hindi pa lubos na nauunawaan kung ikaw ay may website, gumagamit ng cloud services, nag-iimbak ng API keys sa hosting platforms, o gumagamit ng anumang software na binuo gamit ang PHP, Node.js, o Java, posibleng ikaw ay nakaaapekto i-update ang lahat. i-rotate ang iyong API keys. palitan ang iyong passwords sa mga kritikal na serbisyo. i-enable ang 2FA kahit saan hindi pa ito naka-activate hindi ito karaniwang linggo sa internet. ito ay kakaibang bagay

Revolut ulit, bro? Data breach na nagleak ng mga pangalan, address, larawan ng passport, at kasaysayan ng crypto transaction. ilang linggo ang nakalipas. Isang tao ay posibleng pinagsamantalahan sa pamamagitan ng kutsilyo para sa $800K dahil sa leaked na data. nakaraang linggo. Ngayon, may service disruption na nakaaapekto sa milyon-milyong user. “Safe ang pera at data mo” ang sabi nila. Sa point na ito, ilan na ang beses na nasa balita ang Revolut dahil sa maling dahilan bago magsimula ang mga tao na magtanong nang seryoso? Leaked ang data mo. Bumagsak ang service mo. At ang tanging sagot mo ay “paumanhin sa anumang kawalan ng kasiyahan.” Ang isang pagkakaroon ng pagkakasira ng $800K ay hindi isang kawalan ng kasiyahan, bro.