Dirk-jan Mollema’nın ortaya koyduğu yöntem, oturum açmış bir Windows hesabında çalışan zararlı kodun Windows Hello for Business anahtarlarını kullanarak Microsoft Entra ID’ye sessizce kimlik doğrulama yapabildiğini gösteriyor. Çalışma, WebAuthn üzerinden PRT alma, yeni cihaz kaydetme ve uygun politikalarda ek doğrulama yöntemleri ekleme zincirini de ayrıntılandırıyor; aktif istismar ya da ilgili bir CVE ise raporda yer almıyor.
Huntress, Oracle veritabanı içine derlenen khunt adlı araç setinin Windows sunucularda SYSTEM yetkisine kadar çıktığını açıkladı. 27 Temmuz 2026’da başlayan inceleme, doğrulanmamış girdinin JDBC üzerinden veritabanına taşınmasıyla açılan bir zinciri ve Oracle içinde çalışan Java nesneleriyle komut yürütülmesini ortaya koydu.
QuickFox’un Windows yükleyicisine yerleştirilen kötü amaçlı kodun, en az Ağustos 2025’ten beri süren tedarik zinciri saldırısında FDMTP arka kapısını yaydığı ortaya çıktı. Fortinet, kampanyanın yalnızca Windows kullanıcılarını hedef aldığını, sahte alan adı ve DLL yan yükleme teknikleri kullandığını, QuickFox’un ise 3.59.6 sürümüyle zararlı bileşenleri kaldırdığını bildirdi.
DOUBLECUP adlı yeraltı servisi, ClickFix kandırmacalarıyla tarayıcı önbelleğine gizlenen PNG dosyaları üzerinden CountLoader ve DeviceManager RAT dağıttı. Kampanya, lisans paneli, Telegram botu, sahte CRM giriş sayfaları ve çevresel anahtarlama ile hem Windows hem macOS hedeflerini vuruyor.
Silver Fox, Japonya’daki bir endüstriyel üretim kuruluşunu hedefleyen kampanyada BYOVD, DLL side-loading ve NTDLL unhooking tekniklerini bir arada kullanarak ValleyRAT dağıttı. Cato Networks’ün analizine göre saldırıda iki yeni sürücü, çift watchdog yapısı ve 43.128.26[.]132 adresi üzerinden yürütülen ek indirme zinciri öne çıktı. Ayrı bir raporda ise Güney Kore merkezli bir şirket, Atlas RAT’a ait 146 örnek bulduğunu ve Silver Fox bağlantısının kesinleşmediğini bildirdi.
Cruciferra adlı crypter servisi, Windows zararlılarını gizlemek için BYOVD, DLL side-loading ve Process Ghosting tekniklerini bir araya getiriyor. Araştırmacılar, aracın Agent Tesla, Remcos RAT, XWorm ve diğer aileleri taşıyan çok sayıda kimlik avı kampanyasında kullanıldığını aktardı.
CERT-UA, Notepad++ eklentisi gibi görünen kötü amaçlı dosyayla Windows sistemleri hedef alan UAC-0099 kampanyasını açıkladı; zincirde LUNCHPOKE, BURNYBEAR ve MATCHBOIL.V2 bileşenleri yer alıyor. Aynı metinde ABD’nin Laundry Bear ve Proofpoint’in TA458 raporları da aktarılıyor; Zimbra, Kerio, SOGo ve Roundcube webmail sistemlerini hedef alan yarım tık açıkları, CVE kodları ve hedef ülkeler sıralanıyor.
Anthropic’in kırmızı takım testleri, Claude Mythos Preview’un yalnızca kamuya açık yamalar ve derleme bilgileriyle Firefox ve Windows açıkları için kısa sürede çalışan istismarlar üretebildiğini ortaya koydu. Kaynak metin, yama yayımlamanın savunmacılara zaman kazandıran eski modeli bozduğunu; doğrulama, kontrol testi ve maruziyet kanıtlama yaklaşımının öne çıktığını aktarıyor.
7-Zip’teki CVE-2026-14266, özel hazırlanmış XZ arşivlerinin çıkarma sırasında kod çalıştırmasına izin verebilen bir heap overflow olarak tanımlandı. Hata 25 Haziran’da yayımlanan 26.02 sürümüyle kapatıldı; kamuya açık istismar kanıtı ise haberin hazırlandığı tarihe kadar görülmedi.
Microsoft, Windows Kurtarma Ortamı üzerinden BitLocker korumasını aşabilen CVE-2026-45585 için yeni azaltma adımları yayımladı. Zafiyet, özellikle fiziksel erişim elde eden saldırganların şifreli disklere ulaşabilmesi nedeniyle kurumsal dizüstü bilgisayarlar ve sunucular için önem taşıyor. Kurumların TPM-only yapılandırmaları gözden geçirip TPM+PIN’e geçmesi, WinRE sertleştirmesi ve uç nokta izlemeyi güçlendirmesi öneriliyor.