Peti sejuk sebuah supermarket di Estonia mencapai 50°C minggu ini, dan bukan disebabkan kegagalan teknikal, tetapi serangan siber. Enam negara diserang semalaman. Kedai-kedai di Ireland menarik semua makanan sejuk mereka, seorang tukang daging di Belgium membuang ratusan kilogram daging, dan beberapa usaha ini masih menggunakan kata laluan lalai pada 2026. Ini adalah perkara yang tidak difahami orang mengenai keselamatan siber—ia bukan lagi hanya tentang kripto atau kata laluan anda. Seseorang yang duduk di sebuah ruangan di suatu tempat boleh merosakkan bekalan makanan keseluruhan sebuah negara dengan sebuah laptop. Serangan siber seterusnya tidak akan mengosongkan dompet anda, tetapi mungkin mengosongkan peti sejuk anda.

Seseorang boleh membuka telefon anda dengan gambar cetak wajah anda, dan kebanyakan daripada anda tidak sedar akan hal ini. Kebanyakan telefon Android menggunakan kamera 2D biasa untuk membuka kunci muka, tanpa inframerah, tanpa pengesanan kedalaman, hanya pencocokan imej rata. Penyelidik telah membuktikan selama bertahun-tahun bahawa gambar biasa sahaja sudah cukup untuk melintasi sistem ini. Inilah “keselamatan” yang berada di hadapan aplikasi perbankan anda, dompet kripto anda, frasa benih anda, dan seluruh kehidupan anda. Dan setiap kali anda menggunakannya, kamera depan anda memproses satu bingkai wajah anda dan menyimpannya secara tempatan dalam folder sistem yang tidak pernah anda buka. Tidak dienkripsi, tidak dilindungi, hanya tersimpan di sana. Jika anda menggunakan buka kunci muka pada apa sahaja yang bukan telefon unggul dengan pengesanan kedalaman yang betul, tukar kepada cap jari atau PIN yang kuat hari ini. Wajah anda adalah kata laluan satu-satunya yang tidak pernah boleh anda tukar.

Aplikasi yang anda muat turun untuk melindungi akaun anda mungkin menjadi sebab anda diserang Microsoft Authenticator di Android mempunyai kerentanan yang membolehkan aplikasi jahat mencuri token akses akaun kerja anda tanpa memerlukan sebarang kebenaran Ia adalah aplikasi yang berada di telefon anda dan melakukan apa sahaja yang ia inginkan Kerentanan itu berada di komponen broker, iaitu bahagian yang mengendalikan autentikasi antara aplikasi Ia tidak memeriksa dengan betul, jadi sebarang aplikasi rawak boleh masuk dan mengambil token anda seolah-olah ia milik mereka Microsoft telah membaiki kelemahan ini (CVE-2026-80097, CVSS 8.6 yang merupakan keparahan tinggi), tetapi jika anda belum mengemas kini aplikasi Authenticator anda baru-baru ini, anda mungkin masih terdedah Ini adalah bahagian yang membuat saya terkejut. Orang memasang aplikasi authenticator kerana mereka diberitahu bahawa ia adalah perkara yang selamat, dan memang begitu tetapi apabila alat keselamatan itu sendiri mempunyai lubang, kebanyakan orang tidak akan pernah berfikir untuk memeriksa Kemas kini aplikasi anda. Bukan hanya OS telefon anda, tetapi aplikasi anda juga. Terutamanya aplikasi yang paling anda percayai kerana itulah aplikasi yang anda berhenti memperhatikan

Saya membuat postingan tentang apa yang berlaku di internet beberapa hari lalu, dan ia mencapai 2.3 juta tontonan. Sejak itu, keadaan menjadi lebih buruk. Kerentanan brotli yang secara tidak sengaja ditemukan oleh OpenAI? Ia berkembang. Mereka kini memanggilnya HTTP2Shell, dan ia mempengaruhi setiap browser utama, setiap sistem operasi, serta aplikasi seperti Discord, Slack, VS Code, 1Password. Pembaikan belum tersedia untuk semua perkakas lagi. CEO Cloudflare berkata, “Setiap minggu, ia akan terasa seperti langit sedang runtuh.” Polymarket secara harfiah membuka pasaran pertaruhan sama ada lebih banyak kelemahan besar akan diumumkan bulan ini. Perompak menggunakan model AI untuk mengotomatiskan serangan terhadap lebih daripada 400 bank di seluruh Amerika Latin secara serentak. Tanpa henti, tanpa rehat. X mempunyai kelemahan di mana anda boleh log masuk ke akaun orang asing hanya dengan memasukkan nombor telefon anda. Dompet keras Keystone diserang melalui API Shopify mereka, nama dan alamat rumah pelanggan bocor. Sebuah syarikat awan Jepun kehilangan 27,000 pelayan, dan Jepun mengaktifkan pertahanan siber peringkat tentera untuk pertama kalinya dalam sejarah. Kemas kini pelayar anda. Kemas kini aplikasi anda. Tukar kata laluan anda. Nyalakan 2FA di mana-mana sahaja. Oktober belum selesai dengan kita lagi

Seorang pembangun baru sahaja memasukkan $2,000 dalam bitcoin ke dalam pelayan dengan kerentanan PHP dan menantang seluruh internet untuk mencurinya. 17 jam kemudian, wang itu masih ada di sana. Orang-orang sedang membanjiri pelayan, tetapi tiada siapa yang berjaya melaksanakan eksploit tersebut. Ingat semasa saya memosting tentang Marcus Hutchins yang mengecam semua eksploit palsu yang dihasilkan oleh AI di GitHub? Ini buktinya. Kerentanan itu nyata. Tetapi menggunakannya secara sebenarnya adalah cerita yang sama sekali berbeza. $2,000 duduk di pelayan yang rosak, dan seluruh internet tidak boleh menyentuhnya.

Satu kecacatan sahaja telah meletakkan setiap pengembara, setiap sistem pengendalian, dan hampir semua aplikasi yang anda gunakan pada risiko diserang. Kerentanan brotli yang ditemui secara tidak sengaja oleh OpenAI semasa ujian merah terhadap sistem mereka sendiri kini telah berkembang dari “node2shell” kepada sesuatu yang para penyelidik panggil HTTP2Shell, dan kesan serangannya sangat besar. Kita bukan berbincang tentang satu pustaka lagi. Kita berbincang tentang semua pengembara utama—Chrome, Edge, Firefox. Semua sistem pengendalian termasuk iOS. Aplikasi Electron seperti Discord, Slack, VS Code, 1Password, Notion. Alat imej, pembaca PDF, perisian arkib, aplikasi AI desktop, bahkan curl. Pada dasarnya, jika ia menyentuh internet atau mengendalikan data terkompresi, ia kemungkinan besar terjejas. CVE-2026-111497 asal sudah buruk—eksekusi jauh tanpa autentikasi melalui data terkompresi jahat— tetapi lingkupnya kini meluas untuk merangkumi hampir semua yang anda gunakan setiap hari. Pembaikan belum tersedia untuk semua perkhidmatan yang terjejas lagi. Kemas kini segalanya sekarang. Pengembara dahulu, kemudian aplikasi desktop, kemudian alat pembangunan. Jika sesuatu menawarkan kemas kini hari ini, jangan tanya soalan, hanya pasang sahaja. Internet beroperasi di atas asas yang retak, dan retakan itu kini menjadi jauh lebih besar

lelaki IT ini baru saja menyelamatkan seluruh syarikat daripada serangan ransomware pada tengah malam, dan kisah ini gila lelaki ini sebenarnya sedang menonton Netflix apabila telefonnya mula berbunyi berterusan dengan notis pelayan. dia menyambung jauh dan memerhatikan fail syarikat berubah nama satu per satu secara masa nyata, semuanya berubah menjadi huruf-huruf tak bermakna lelaki ini mengambil kunci kereta dan memandu ke pejabat seperti orang gila. Tiba pada pukul 12:20 tengah malam, gelap gulita, dia berjalan dari meja ke meja mencabut kabel LAN dari 40 komputer dengan tangan yang bergoncang catatan tebusan di setiap skrin? Bayar seluruh keuntungan bulanan anda dalam bitcoin dalam tempoh 72 jam. Bosnya menelefon dan berkata, “Bayar sahaja, kita perlukan fail-fail itu untuk Isnin” Dia berkata tidak. Syarikat yang membayar akan menjadi sasaran lagi Dia cuba pulihkan daripada sandaran, tetapi pelayan sandaran juga diserang. Jaringan yang sama, ransomware yang sama. Lelaki ini berkata fikirannya menjadi kosong sepenuhnya Tetapi dia masih ada satu kad terakhir. Setiap Rabu, semasa dalam perjalanan pulang, dia secara manual membuat sandaran data syarikat ke dalam cakera keras luaran dan menyimpannya di laci meja kerjanya—kebiasaan yang hampir ditinggalkannya kerana dirasakan sebagai pembaziran masa Cakera keras di dalam laci itulah yang menyelamatkan seluruh syarikat Dia membina semula segalanya sepanjang hujung minggu, dan pada pagi Isnin, semua penghantaran keluar seperti biasa. Bosnya ketawa dan berkata, “Saya gembira awak tak hantar bitcoin itu” Minggu depan, dua cakera keras lagi muncul di atas meja beliau Kebiasaan membosankan yang tiada siapa mahu lakukan itulah satu-satunya perkara yang berjaya

OpenAI secara tidak sengaja menemui satu kelemahan yang boleh membahayakan jutaan pelayan, dan mereka sebenarnya tidak sedang mencarinya. Mereka cuba menghentikan model AI mereka daripada mengakses internet semasa latihan, dan membina satu dunia luar talian sepenuhnya untuk mereka. Semasa ujian red-teaming terhadap pengaturan itu, mereka secara tidak sengaja menemui satu kelemahan dalam Brotli, salah satu pustaka mampatan paling luas digunakan di internet. Kelemahan ini membolehkan penyerang menjalankan kod mereka sendiri pada mana-mana sistem yang terjejas dengan menghantar data mampatan jahat. Tiada keperluan log masuk, tiada akaun pengguna diperlukan. Hanya hantar data, dan anda sudah masuk. Brotli dibina ke dalam Node.js, Bun, Envoy, dan hampir semua yang menangani trafik web yang dimampatkan. Kekurangan ini secara teknikal telah diperbaiki pada bulan Februari, tetapi pada masa itu tiada siapa yang sedar ia adalah isu keselamatan. Jadi, selama berbulan-bulan, pemaafan itu wujud tetapi hampir tiada siapa yang memasangnya kerana ia kelihatan seperti kemas kini biasa. Kadang-kadang, penemuan yang paling menakutkan berlaku apabila anda tidak sedang mencarinya.

Mereka memanggilnya “Oktober Hitam” dan saya rasa orang-orang tidak sedar betapa seriusnya ini. Dalam 48 jam terakhir, terdapat lebih daripada 27 insiden keselamatan siber utama. Bukan dalam sebulan. Bukan dalam seminggu. Dalam 48 jam. SATU sahaja daripada ini biasanya akan menjadi cerita terbesar tahun ini. PHP: kerentanan kritikal dalam perisian yang menjalankan 80% web. keparahan 9.2 daripada 10 Node.js: kelemahan tahap tinggi yang membolehkan penyerang menguasai pelayan dari jauh. Mempengaruhi versi 22, 24, dan 26 Java: juga diserang. Tiga daripada bahasa pengaturcaraan paling banyak digunakan di dunia diserang pada masa yang sama. GitLab: lubang keparahan sempurna 10 daripada 10 dalam semua versi sejak 2014 Railway: platform hosting diserang. Kekunci antara muka pengaturcaraan aplikasi (API) untuk OpenAI, Claude, Stripe berpotensi terdedah Signal: satu kecacatan yang boleh meninggalkan mikrofon dan kamera anda menyala selepas anda mengakhiri panggilan WordPress: perompak mencuri kekunci pembuat plugin dan memasang pintu belakang ke laman web LiteLLM: alat AI yang dimuat turun 3.4 juta kali sehari telah diracuni dengan pencuri kata laluan Dan itu belum separuh senarai. Ribuan gerombolan agen AI dilaporkan sedang memindai dan menyerang pelayan yang rentan sekarang. Automatik. 24 jam sehari. Penyelidik keselamatan mengatakan ini mungkin merupakan peringkat awal insiden siber global yang belum sepenuhnya difahami. Jika anda menjalankan laman web, menggunakan perkhidmatan awan, menyimpan kekunci antara muka pengaturcaraan aplikasi (API) pada platform hosting, atau menggunakan sebarang perisian yang dibina berdasarkan PHP, Node.js, atau Java, anda berpotensi terjejas. Kemas kini semua perkara. Putar semula kekunci antara muka pengaturcaraan aplikasi (API) anda. Tukar kata laluan anda pada perkhidmatan penting. Aktifkan 2FA di mana-mana tempat yang belum anda lakukan. Ini bukan minggu biasa di internet. Ini sesuatu yang berbeza.

Revolut lagi bro Kebocoran data yang mengungkapkan nama, alamat, foto pasport, dan sejarah transaksi kripto. Beberapa minggu yang lalu. Seorang lelaki berpotensi dirampas pada titik pisau sebanyak $800K akibat data yang bocor itu. Seminggu yang lalu. Sekarang, gangguan perkhidmatan yang mempengaruhi jutaan pengguna hari ini. “Duit dan data anda selamat,” kata mereka. Pada tahap ini, berapa kali Revolut perlu menjadi berita kerana sebab yang salah sebelum orang mula bertanya soalan-serius? Data anda bocor. Perkhidmatan anda turun. Dan yang anda dapat hanyalah “kami minta maaf atas sebarang ketidakselesaan”. Pencurian $800K bukanlah ketidakselesaan bro