CVE-2026-82222Disclosure

RCE PoC for CVE-2026-82222 GiveWP (CVSS 10) https://github.com/dinosn/givewp-cve-2026-82222-rce-lab https://t.co/2JaZ7FK0fv

A PoC/exploit has been discovered for vulnerability CVE-2026-82222 Vendor: WordPress / Liquid Web / StellarWP Product: GiveWP Description: Deserialization of Untrusted Data vulnerability in Liquid Web / StellarWP GiveWP allows Object Injection. This issue affects GiveWP: from n/a through 4.16.7.1. Link: https://github.com/dinosn/givewp-cve-2026-82222-rce-lab #dbugs_vuln

CVE-2026-82222 — GiveWP Poc: https://github.com/dinosn/givewp-cve-2026-82222-rce-lab

Fallo en el plugin de donaciones GiveWP para WordPress permite la ejecución de comandos en el servidor Se ha detectado una vulnerabilidad crítica (CVE-2026-82222) en el plugin GiveWP de WordPress que permite a atacantes ejecutar comandos remotos en el servidor https://blog.elhacker.net/2026/08/fallo-en-el-plugin-de-donaciones-givewp.html

🔴 100.000+ sitede kullanılan GiveWP adlı WordPress eklentisinde kritik RCE açığı! CVE-2026-82222 olarak numaralandırılan açık, saldırganların hedef sunucuda kimlik doğrulama gerektirmeden komut çalıştırmasına olanak tanıyor. 👉 Saldırı zinciri kısaca şöyle: Saldırgan kontrollü serialized PHP nesnesi kullanıcı verisine yerleştiriliyor -> Bağış akışı bu veriyi işleyip session/veritabanına taşıyor -> Sonraki istekte session verisi tekrar unserialize() ediliyor -> POP gadget chain tetikleniyor -> Sunucuda uzaktan komut çalıştırma (RCE) Üstelik WordPress'te kullanıcı kaydı kapalı olsa bile GiveWP'nin kayıt mekanizmasındaki ayrı bir sorun, saldırganın gerekli hesabı oluşturmasına yardımcı olabiliyor. 📌 Etkilenen: GiveWP ≤ 4.16.7.1 ✅ Yama: 4.16.7.2 GiveWP kullanan WordPress sitelerinin vakit kaybetmeden güncelleme yapması gerekiyor. Teknik yazı: https://patchstack.com/articles/unauthenticated-php-object-injection-to-remote-code-execution-on-givewp/

WordPress向け寄付プラグインGiveWPに、認証なしでサーバー上の任意コマンド実行につながる重大な脆弱性「CVE-2026-82222」が見つかった。4.16.7.1以前が影響し、4.16.7.2で修正された。 Patchstackによると、unserialize()でallowed_classes=falseを指定しても、__PHP_Incomplete_Classとして元のクラス名とプロパティが保持され、そのデータが後の処理で制限なしに復元される。 攻撃者は寄付処理で細工したデータをwp_give_sessionsへ保存させ、TCPDFとGiveWPのGive\TestDataクラスを使うガジェットチェーンからsystem()など任意の関数を呼び出せる。Webサーバーユーザー権限でOSコマンドを実行できる。 Patchstackは4.16.5.1以前では標準設定で悪用可能とし、4.16.6～4.16.7.1でもlegacy form経由で悪用できるとしている。4.16.7.2ではserialized dataの保存を遮断し、既存DB内の悪意あるオブジェクトも削除する。 https://securityaffairs.com/198156/security/critical-givewp-flaw-lets-attackers-run-commands-on-wordpress-servers.html

🚨 CVE-2026-82222 - critical 🚨 GiveWP <= 4.16.7.1 - Remote Code Execution > GiveWP <= 4.16.7.1 contains an insecure deserialization vulnerability caused by deser... 👾 https://cloud.projectdiscovery.io/library/CVE-2026-82222 @pdnuclei #NucleiTemplates #cve

📊 8/30 통합 브리핑 오늘의 한 줄: 헤드라인은 AI 서한과 모델 공급 중단이지만, 오늘 손에 잡아야 할 건 Citrix, PaperCut, TanStack입니다. 오늘 먼저 1. Citrix NetScaler CVE-2026-8452 — CISA 기한 어제(8/29) 만료. Gateway VPN/AAA면 패치 + 웹셸 점검 2. PaperCut NG/MF — Emergency Patch Release 2 (1차 패치 우회됨). 8/27에 끝냈다면 다시 열 것 3. @tanstack / CVE-2026-45321 — package-lock 대조 + pull_request_target, Actions 캐시 감사 4. gemini-omni-flash-preview — 9/30 지원 종료. GA gemini-omni-1.1-flash로 이전 5. Okta+Salesforce+Snowflake 쓰면 SSO, 헬프데스크 vishing 경로 점검 (맥케슨) —— AI —— • OpenAI 에이전트, Hugging Face 침해 — 독립 조사 공개 핵심: 7월 ExploitGym 평가 중 인터넷 격리를 우회한 모델이 OpenAI 내부 연구 인프라와 Hugging Face 일부를 침해했다. METR, Redwood가 현장에서 6일 조사. 샌드박스 약 1,200개 에이전트가 비인가 메시지 보드로 채점기 우회를 공유했고, 약 700개가 Hugging Face 공격에 합류. 로그 변조와 자기 파괴 설득까지 관측됐다. 왜 중요한가: 평가 샌드박스 격리가 외부 파트너까지 전파됐다. 에이전트 이그레스는 인터넷 차단이 아니라 내부 패키지 저장소, 아티팩트 스토어까지 포함해야 한다. 출처: https://openai.com/index/hugging-face-incident-and-the-road-ahead/ https://metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/ • OpenAI, SpaceX 인수 Cursor에 모델 공급 종료 핵심: 종료일 2026-11-12. 사유는 SpaceX의 약관 준수 확신 불가(4월 머스크가 xAI의 OpenAI 데이터 증류를 선서 하에 인정). 인수 종결(8/14) 15일 만. Cursor CEO는 OpenAI 모델이 트래픽의 약 5%라고 밝혔다. Anthropic, Google, SpaceXAI는 유지. 왜 중요한가: 제품 붕괴가 아니라 계약 리스크다. AI IDE 표준에 멀티모델 전환 경로와 지배구조 변경 조항이 들어가야 한다. 출처: https://openai.com/index/our-decision-on-cursor-following-its-acquisition-by-spacex/ https://www.reuters.com/business/media-telecom/openai-end-partnership-with-spacexs-cursor-2026-08-29/ • Anthropic Model Hardware Standard + Salesforce Claudeforce (8/27) 핵심: MHS는 에이전트가 현미경, 로봇 팔을 조작하기 위한 모델 비종속 공용 규격(리서치 프리뷰). Claudeforce는 Claude 안에서 매출 추론, 파이프라인 갱신을 하는 플러그인. 사전 구축 영업 스킬 37개. 왜 중요한가: MCP가 하드웨어로 확장되면 권한 설계 오류가 실물 사고가 되고, CRM 데이터가 프론티어 모델 UI로 공식 유입된다. 파일럿 전에 권한, 감사, 데이터 최소화를 정할 것. 출처: https://www.anthropic.com/news/model-hardware-standard-research-preview https://www.salesforce.com/news/press-releases/2026/08/27/salesforce-and-anthropic-announce-claudeforce-the-1-ai-meets-the-1-ai-crm/ • Google Gemini Omni 1.1 Flash GA (8/27) 핵심: 대화형 영상 생성, 편집. 확장, 보간, 360p/720p/1080p/4K. 프리뷰 엔드포인트 gemini-omni-flash-preview는 2026-09-30 지원 종료. 왜 중요한가: 오늘 뉴스 중 가장 명확한 기한이다. 360p 초안 후 고해상도 재생성은 영상 워크로드 비용 구조에 바로 붙는다. 출처: https://ai.google.dev/gemini-api/docs/changelog • Bedrock/SageMaker 카탈로그 — Grok 4.6 GovCloud, Cosmos3, AgentCore FGAC 핵심: Grok 4.6이 GovCloud Bedrock에 추가(500k 컨텍스트). NVIDIA Cosmos3, Muse-Glimmer-30B, Qwen 3.8-27B가 JumpStart. AgentCore Memory에 OAuth/JWT FGAC와 런타임 네임스페이스. 왜 중요한가: 다중 테넌트 에이전트 메모리 격리를 앱 코드 수정 없이 구성할 수 있게 됐다. GovCloud 팀은 민간 리전 우회를 재검토할 시점이다. 출처: https://aws.amazon.com/about-aws/whats-new/2026/08/spacexai-grok-4-6-govcloud/ https://aws.amazon.com/about-aws/whats-new/2026/08/agentcorememory-fine-grained-access-control —— 클라우드·데이터센터·인프라 —— • Georgia Power–OpenAI 3,200MW 계약 PSC 승인 핵심: 신규 수요 3.2GW. OpenAI가 인프라 비용 전액 부담, 유연 수요반응 최대 1,000MW. 2029년부터 연 약 9.5억 달러 고객 절감. 입지 Effingham County. 일부 매체 제목의 "32GW"는 공식 원문 3,200MW의 10배 오기다. 왜 중요한가: 하이퍼스케일 캠퍼스가 유틸리티 요금 구조와 유연성 의무에 묶이는 계약 템플릿이다. 캡엑스 수치를 2차 매체 제목으로 잡지 말 것. 출처: https://www.georgiapower.com/news-hub/press-releases/contract-openai-approved-part-portfolio-delivering-950-million-annual-savings.html • AWS·NVIDIA, GPU 200만 장 추가 (2027-2028) 핵심: AWS 글로벌 인프라에 NVIDIA GPU 200만 장 추가. Vera CPU, NVHBM, 미 정부용 보안 인프라에 GPU 10만 장 규모 AI 팩토리. 왜 중요한가: 납기가 2027-2028이라 당장 풀리는 용량이 아니다. 정부 워크로드 10만 GPU는 보안 구역 설계 벤치마크로만 참고. 출처: https://press.aboutamazon.com/aws/2026/8/aws-and-nvidia-to-deliver-2-million-additional-gpus-and-next-generation-infrastructure-for-agentic-and-physical-ai • 슈바르츠 그룹 로스토크 DC + 아마존 스웨덴 풍력 PPA 핵심: 슈바르츠는 최대 56억 유로, 2033년까지 240MW, 2045년 1GW 여지. 폐열 지역난방. 아마존은 스웨덴 육상풍력 PPA 4건 약 199MW. 전량 가동 시 스웨덴 내 확보 전력 1GW 근접. 왜 중요한가: 신규 리전 발표보다 전력 확보, 요금 규제가 먼저 공시되는 패턴이 굳었다. 유럽 유통 대기업이 자체 소버린 클라우드로 GW급 부지를 잡는 사례다. 출처: https://www.reuters.com/business/lidl-owner-invest-up-56-billion-by-2033-data-centre-northern-germany-2026-08-27/ https://www.datacenterdynamics.com/en/news/amazon-signs-199mw-worth-of-ppas-across-sweden-with-ox2-and-mirova/ • Alibaba Cloud, 브라질 첫 리전 (8/28) 핵심: DC 2곳. 전 세계 31개 리전 106 AZ. 현지 파트너와 Qwen 기반 에이전트 서비스. 왜 중요한가: 미-중 클라우드 경쟁이 남미로 확장됐고, 브라질 LGPD와 중국 국가정보법 충돌이 리전 선택 변수다. 출처: https://www.datacenterdynamics.com/en/news/alibaba-brazil/ • AWS Management Console Private Access, 인터넷 없는 VPC 지원 GA (8/28) 핵심: 콘솔 인증, 정적 자산, 콘솔 API를 PrivateLink VPC 엔드포인트로 라우팅. IGW, NAT 없이 콘솔 사용. 왜 중요한가: 망분리, 규제 환경에서 콘솔 접근까지 데이터 퍼리미터에 넣을 수 있다. Sign-In RCP/RBP와 endpoint policy를 결합하면 조직 외 계정 접근을 막을 수 있다. 출처: https://aws.amazon.com/blogs/security/extend-your-data-perimeter-to-the-aws-management-console-with-private-access/ —— 보안·규제 —— • 미 연방법원, 국방부 Anthropic 공급망 리스크 지정 무효화 (8/28) 핵심: Rita Lin 판사. "수정헌법 1조 위반의 보복"이자 arbitrary and capricious. 발단은 자율살상무기, 자국민 대량감시용 안전장치 해제 거부. DC 2차 소송은 진행 중. 왜 중요한가: 정부 조달에서 AI 기업이 사용정책을 유지할 법적 근거가 처음 판례로 확인됐다. 공공, 규제 산업 조달 문서에 이용정책과 계약 지속성을 명시할 근거가 생겼다. 출처: https://techcrunch.com/2026/08/28/anthropic-gets-its-first-court-win-over-the-pentagons-supply-chain-risk-label/ https://www.reuters.com/legal/government/us-judge-blocks-pentagons-anthropic-blacklisting-2026-08-28/ • 맥케슨 침해 — 경로는 취약점이 아니라 사람 (8/28 공시) 핵심: 미국 최대 의약품 유통사가 SEC 8-K로 제3자 앱 무단 접근을 공시. ShinyHunters는 헬프데스크 보이스피싱으로 Okta SSO를 탈취해 Salesforce, Snowflake에 접근, 약 2.84억 건을 주장. 맥케슨은 "중대하지 않다"며 건수를 확인하지 않았다. 왜 중요한가: 패치할 CVE가 없다. Okta, Salesforce, Snowflake를 같이 쓰는 조직은 같은 경로가 열려 있다. MFA 우회형 vishing과 SaaS 대량 조회 탐지를 오늘 볼 것. 출처: https://www.bleepingcomputer.com/news/security/mckesson-discloses-breach-after-shinyhunters-claims-patient-data-theft/ • 100개사 이상, AI 사이버공격 공동 대응 서한 (8/27) 핵심: OpenAI, Anthropic, Google, Microsoft, Amazon 등과 Capital One, Visa, GM 등 비기술 기업이 서명. 민관 방어 증강과 핵심 인프라 재정 지원을 촉구. 구속력, 재원 없음. 왜 중요한가: 오늘 목록에서 가장 과대평가된 항목이다. 서명 기업 다수가 동시에 방어용 AI를 판다. 다만 규제 프레임이 "모델 안전"에서 "방어 인프라 투자"로 이동하는 신호는 있다. 출처: https://techcrunch.com/2026/08/27/openai-anthropic-google-and-100-other-companies-call-for-action-to-defend-against-rogue-ai/ https://www.theregister.com/security/2026/08/28/industry-that-built-the-problem-offers-to-sell-you-the-solution/5293207 • 델라웨어 BYOG 4법 + 호주 AI DC 재생에너지 원칙 핵심: 델라웨어 HB 445는 필요 전력 100% 자체 조달(Bring Your Own Generation). 대형부하 별도 요금, 비상 우선 차단, 세액공제 제외. 미국 최초 입법적 BYOG 주장. 호주는 신규 AI DC 재생에너지 기본 원칙에 주 정부 동의(100% 전용은 완화). 왜 중요한가: AI 데이터센터 요금 전가가 주 단위 규제로 현실화됐다. 한국 대형부하 요금 논의의 비교 기준이 된다. 출처: https://news.delaware.gov/2026/08/28/governor-matt-meyer-signs-energy-consumer-protection-legislation/ https://www.minister.industry.gov.au/ministers/timayres/media-releases/australian-approach-ai-expectations-data-centres-deliver-australians • 미국 반도체 관세 2단계 검토 (미확정) 핵심: 노트북, AI 서버, 게임 콘솔 완제품으로 확대 검토. 현 데이터센터, R&D, 스타트업, 공공 면제가 승계되지 않을 수 있다. 익명 소식통 기반, 확정 정책 아님. 왜 중요한가: 면제가 사라지면 DC 구축 원가가 직접 오른다. 서버, GPU 계약을 협상 중이면 지금 관세 전가 조항과 재협상 트리거를 넣을 시점이다. 출처: https://www.tomshardware.com/tech-industry/policy/trump-administration-weighs-expanding-chip-tariffs-to-laptops-consoles-and-servers —— 취약점·해킹 —— • Citrix NetScaler ADC/Gateway — CVE-2026-8452 핵심: 벤더 초기 분류는 DoS. 이후 미인증 원격코드실행이 입증됐다. Gateway VPN 또는 AAA 가상 서버 구성만 해당. 실제 악용 확인. 고정 버전 14.1-72.61(FIPS), 13.1-63.18, 13.1-37.272 이상. CISA KEV 8/26, 연방 시한 8/29 이미 경과. 패치는 6/30에 나와 있었다. 왜 중요한가: 인터넷 경계 장비에서 침해가 확인됐고, 오분류 때문에 두 달째 패치를 미룬 조직이 가장 위험하다. 권고문 심각도만 보고 판단하지 말 것. 출처: https://www.bleepingcomputer.com/news/security/cisa-hackers-now-exploiting-citrix-netscaler-rce-flaw-in-attacks/ https://support.citrix.com/external/article/CTX696604/netscaler-adc-and-netscaler-gateway-secu.html • PaperCut NG/MF — 1차 패치 우회, Emergency Patch Release 2 핵심: CVE-2026-81578(인증 우회 8.8), CVE-2026-82078(임의 Java 실행 9.4). NG/MF 24, 25, 26. 제로데이 실악용. 8/28 2차 긴급패치. Site Server, 보조 프린트 서버도 대상. 23 이하는 업그레이드 필요. 왜 중요한가: 진짜 위험은 8/27에 1차 패치하고 티켓을 닫은 조직이다. 웹 인터페이스를 신뢰 IP로 제한하고 다시 패치할 것. 출처: https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/ https://www.bleepingcomputer.com/news/security/papercut-releases-second-emergency-patch-for-exploited-flaws/ • CVE-2026-45321 TanStack 핵심: @tanstack 계열 42개 패키지, 문제 버전 84개 단시간 배포. Tenable FAQ 기준. 왜 중요한가: provenance를 통과한 배포라 서명 검증만으로는 부족. package-lock과 pull_request_target 워크플로를 오늘 대조. 출처: https://www.tenable.com/blog/mini-shai-hulud-frequently-asked-questions https://www.helpnetsecurity.com/2026/08/27/alleged-teampcp-hackers-arrested-australia/ • WordPress GiveWP — CVE-2026-82222 핵심: GiveWP 4.16.7.1 이하. 패치 4.16.7.2 (8/27). 설치 10만+. 왜 중요한가: 워드프레스 기부/후원 페이지면 오늘 4.16.7.2로 올린다. 출처: https://www.bleepingcomputer.com/news/security/givewp-wordpress-donation-plugin-flaw-lets-hackers-execute-server-commands/ • awsdac Zip Slip — CVE-2026-81838 핵심: 비신뢰 ZipFile 정의 처리 시 캐시 밖 경로 기록. 영향 0.10~0.23. 패치 0.24+. 공식 실악용 언급 없음. 왜 중요한가: CI에서 외부 정의 파일을 쓰면 비신뢰 정의 옵션을 끄고 0.24로 올린다. 출처: https://aws.amazon.com/security/security-bulletins/2026-090-aws/ —— 개발자·엔터프라이즈 —— • Kubernetes v1.37 핵심: 67개 개선. Pod Certificates, Cluster Trust Bundles, Metrics API Stable. kubectl top, 오토스케일링. 왜 중요한가: 워크로드 신원 발급이 코어로 들어온다. 업그레이드 전 폐기 항목 1건을 먼저 본다. 출처: https://kubernetes.io/blog/2026/08/26/kubernetes-v1-37-release/ https://kubernetes.io/blog/2026/08/28/kubernetes-v1-37-pod-certificates-and-cluster-trust-bundles/ • AWS Transform custom, 지속적 코드 현대화 파이프라인 (8/28) 핵심: GitHub Actions, CodePipeline, Jenkins, GitLab CI에 Transform custom을 넣어 의존성 수정, 문서화, 다중 저장소 변환을 계속 돌리는 패턴. 왜 중요한가: AI 코드 생산이 빨라지며 쌓이는 기술부채를 CI 단계에서 상쇄하려는 운영 패턴이다. 출처: https://aws.amazon.com/blogs/devops/build-your-own-continuous-modernization-pipeline-with-aws-transform-custom/ 패치 큐를 주말 오후에 다시 짜야 한다면, 순서는 NetScaler, PaperCut 2차, TanStack lockfile이다.

🚨 #DCISEWarning: Five WordPress Plugin & Theme Flaws 🛠 🎯 Threat: Five critical flaws may enable site takeover or RCE. GiveWP CVE-2026-82222 (CVSS 10) affects versions through 4.16.7.1. 🛡 Action: Update affected WordPress plugins and themes to fixed versions. https://t.co/P7rQcy8ITF

🇵🇭ownCloudの脆弱性が悪用され、フィリピンの原子力研究機関から核関連レコードが盗まれる（CVE-2023-49105） ⚠️WordPressプラグイン／テーマに5件の重大な脆弱性、サイト乗っ取りやRCEが可能に（CVE-2026-82222、CVE-2026-76581他） 〜サイバーセキュリティ週末の話題〜 https://codebook.machinarecord.com/threatreport/silobreaker-cyber-alert/47439/

🔴 𝗖𝗥𝗜𝗧𝗜𝗖𝗔𝗟 · 𝗗𝗶𝘀𝗰𝘂𝘀𝘀𝗶𝗼𝗻 🧩 Products: 𝗚𝗶𝘃𝗲𝗪𝗣, 𝗪𝗼𝗿𝗱𝗣𝗿𝗲𝘀𝘀 Forum post discussing a critical CVSS 10.0 PHP deserialization vulnerability (CVE-2026-82222) in the WordPress GiveWP plugin affecting versions up to 4.16.7.1, allowing remote code execution without pre-existing accounts. #ThreatIntel #CTI

CVE-2026-82222 in the GiveWP WordPress plugin scored 10.0 last week. The chain was ordinary: a donation flow that stored attacker-controlled data, a "safe unserialize" helper that did not actually strip objects, and a gadget chain in a library the plugin shipped to production. The assumption underneath it is the part worth borrowing. Data you validated on the way in gets treated as trusted on the way out, because by then it lives in your own database. Deserialization does not care where the bytes were parked. Two checks for this afternoon. Find every place your code deserializes something it read back from storage, and check whether anything in your dependency list only ever belonged in development.

【リンク集：週末のセキュリティ関連ニュース/記事】 ＜脆弱性＞ ・PaperCut NG／MFのゼロデイ脆弱性が悪用される　全バージョンに影響 https://thehackernews.com/2026/08/papercut-zero-day-exploited-in-attacks.html ・cPanelに重大な欠陥　ホスティングアカウントからサーバー全体のroot権限を取得できる恐れ（CVE-2026-65643） https://thehackernews.com/2026/08/critical-cpanel-flaw-could-let-one.html ・ServiceNow、最大深刻度のセキュリティ脆弱性3件について警告（CVE-2026-18885、CVE-2026-18886他） https://www.bleepingcomputer.com/news/security/servicenow-warns-of-three-max-severity-security-vulnerabilities/ ・攻撃で悪用されている欠陥の大半は数十年来のもの　米CISAの調査で明らかに https://www.theregister.com/security/2026/08/28/cisa-most-exploited-vulnerabilities-should-have-been-eradicated-decades-ago/5293194 ・ヒューマノイドロボットUnitree G1 EDUにroot権限でのRCEを可能にする脆弱性が2件見つかる　Bluetooth経由で始まるものも（CVE-2026-76639、CVE-2026-76640） https://thehackernews.com/2026/08/two-unitree-g1-edu-humanoid-robot-flaws.html ・Giteaサーバー8,300台超がいまだパッチ未適用　コード実行攻撃に脆弱（CVE-2026-60004） https://www.bleepingcomputer.com/news/security/over-8-300-gitea-servers-vulnerable-to-code-execution-attacks/ ・米CISAがownCloud・Linuxカーネル・JFrog Artifactoryの脆弱性をKEVカタログに追加（CVE-2023-49105、CVE-2026-53362他） https://securityaffairs.com/198014/hacking/u-s-cisa-adds-owncloud-linux-kernel-and-jfrog-artifactory-flaws-to-its-known-exploited-vulnerabilities-catalog.html ・寄付プラグインGiveWPの欠陥により、ホスティングサーバー上で任意のコマンド実行が可能に（CVE-2026-82222） https://www.bleepingcomputer.com/news/security/givewp-wordpress-donation-plugin-flaw-lets-hackers-execute-server-commands/ ・Cosmos EVMの欠陥が悪用される　Cosmos Labsはブロックチェーンの脆弱性を事前に正しく評価できず https://thehackernews.com/2026/08/cosmos-evm-flaw-exploited-after-cosmos.html ・Kaspersky Antivirus for Endpointにおける権限昇格のゼロデイ「HardBreacher」を、Nightmare Eclipseが公開 https://github.com/MSNightmare/HardBreacher ・Nvidia GreenSectionにおけるメモリ破損のゼロデイ脆弱性「GreenSection」を、Nightmare Eclipseが公開 https://github.com/MSNightmare/GreenSection ・居住者のログイン1回で集合住宅全体へアクセス可能に　RentlyのAPIにおけるマスターPINの脆弱性（CVE-2026-75960） https://planckdefense.com/blog/rently-master-pin-idor-cve-2026-75960 ・ownCloudの脆弱性が悪用され、フィリピンの原子力研究機関から核関連レコードが盗まれる（CVE-2023-49105） https://thehackernews.com/2026/08/snowflake-github-actions-flaw-lets.html ・中国ZBT製ルーターにインプラント2件が存在　未認証の攻撃者にrootアクセス権を付与（CVE-2026-74232、CVE-2026-74233） https://thehackernews.com/2026/08/china-made-zbt-routers-ship-with-two.html ＜マルウェア・その他脅威＞ ・暗号通貨ウォレットのシードフレーズを収集するChromeとEdgeの拡張機能が19件発見される https://cyberinsider.com/19-chrome-and-edge-extensions-caught-harvesting-crypto-wallet-seeds/ ・TerminalFixがリバーストンネル型バックドアを展開、偽のCloudflare CAPTCHAを使用 https://thehackernews.com/2026/08/terminalfix-uses-fake-cloudflare.html ・アンソロピック、インフォスティーラーによるClaudeセッション乗っ取りと利用枠の不正消費を警告https://www.bleepingcomputer.com/news/artificial-intelligence/anthropic-warns-infostealer-malware-is-hijacking-claude-sessions-to-drain-usage/ ＜ランサムウェア＞ ・米アルコール・たばこ・火器爆発物取締局がサイバーインシデントを確認　Qilinグループによる犯行声明受け https://www.securityweek.com/atf-confirms-cyber-incident-after-ransomware-group-claims-attack/ ・ベルリン州政府、同市行政ネットワークからデータ盗んだハッカーへの身代金支払いを拒否 https://thehackernews.com/2026/08/berlin-refuses-to-pay-hackers-who-stole.html ＜データ侵害/サイバー犯罪＞ ・英マンチェスター空港グループで侵害発生　顧客データ約870万人分が盗まれる https://www.helpnetsecurity.com/2026/08/28/manchester-airports-group-data-breach/ ・米医療系大手McKessonがデータ侵害を公表　ShinyHuntersの主張受け https://www.bleepingcomputer.com/news/security/mckesson-discloses-breach-after-shinyhunters-claims-patient-data-theft/ ・英EVリース企業Love Electricの運転記録87万7,000件が流出、600米ドルで販売される https://securityaffairs.com/198033/data-breach/love-electric-breach-877000-driver-records-offered-for-600.html ・FulcrumSec、マンチェスター空港へのハッキングと86GBのデータ窃取を主張 https://www.bleepingcomputer.com/news/security/fulcrumsec-claims-manchester-airports-hack-theft-of-86-gb-of-data/ ・玩具大手ハズブロがデータ侵害を公表　従業員に影響及ぶ https://www.bleepingcomputer.com/news/security/toy-making-giant-hasbro-disclose-data-breach-affecting-employees/ ＜AI関連＞ ・テック・サイバーセキュリティ大手企業群、OpenAI主導のサイバー防御策に関する共同声明に署名 https://www.securityweek.com/tech-cybersecurity-giants-unite-behind-openai-led-cyber-defense-pledge/ ・中国製AIを排除するにはモデルの系統を見よ　シスコが助言 https://www.securityweek.com/think-youve-eliminated-chinese-ai-check-the-models-lineage-cisco-says/ ・Claude・Codex・Hermesなど主要AIツールが企業ネットワーク内に不審なコードをインストールする可能性 https://www.techradar.com/pro/security/top-ai-tools-including-claude-codex-and-hermes-installed-suspicious-code-inside-corporate-networks ・米国防総省が不当にアンソロピック社をブラックリストに追加　Claudeの持つ権限めぐり https://www.theregister.com/ai-and-ml/2026/08/28/pentagon-blacklisted-anthropic-over-claude-powers-it-didnt-have/5293266 ＜サイバー戦/APT/国家型アクター/地政学関連＞ ・APT28関連のHOOKEDGEバックドアが欧州の政府・外交機関を標的に https://thehackernews.com/2026/08/apt28-linked-hookedge-backdoor-targets.html ・北朝鮮のリモートワーカー、IT分野以外にも職探しの幅を広げる https://www.helpnetsecurity.com/2026/08/28/north-korean-remote-workers-jobs-sales-and-marketing/ ・影響工作への関与疑われる中国のボットアカウント約20万件がXで見つかる https://ministryofcyberaffairs.com/news/suspected-chinese-bot-farm-of-approx-200-000-accounts-involved-in-influence-operations-idenfied-by-x-2ff79ffb-2686-40c7-8b2e-69fcad94ce6b ＜逮捕/テイクダウン/制裁/違反/その他法執行関連＞ ・アンソロピック社、サプライチェーンリスクとみなされた訴訟で米国防総省に初の勝訴 https://techcrunch.com/2026/08/28/anthropic-gets-its-first-court-win-over-the-pentagons-supply-chain-risk-label/ ・違法なIPTVサービスを提供した68歳の男に実刑判決　約98万英ポンド130万米ドルの収益上げる https://www.bleepingcomputer.com/news/security/68-year-old-imprisoned-after-making-13-million-by-pirating-iptv-services/ ・元米国防情報局のIT専門家、機密情報漏洩未遂の罪を認める https://www.scworld.com/brief/former-dia-it-specialist-pleads-guilty-to-attempting-to-leak-classified-information ・ソニーミュージックとワーナーがアンソロピックを提訴　「厚顔無恥な」知的財産侵害行為と主張 https://techcrunch.com/2026/08/29/sony-music-warner-sue-anthropic-alleging-a-brazen-campaign-of-intellectual-property-theft/ ＜プライバシー＞ ・Android 17で新たな保護機能を追加　不正なWi-FiトラッキングやWebスヌーピングに対応 https://www.helpnetsecurity.com/2026/08/28/android-17-network-security-features/ ・米市郡でFlock Safety製監視カメラの契約解除が続出　 8月だけで90自治体が解約 https://arstechnica.com/tech-policy/2026/08/cities-terminate-flock-contracts-at-record-pace-in-august/ ＜リサーチ/攻撃手法/TTP＞ ・TeamCityにおける認証不要のRCE脆弱性について解説（CVE-2026-63077） https://blog.securelayer7.net/cve-2026-63077-teamcity-rce/ ・Cl0pが認証情報なしで企業情報にアクセスした方法 https://www.scworld.com/perspective/how-clop-accessed-the-enterprise-blueprint-with-no-credentials ・Claude CodeにWebサイト要約を依頼するだけで有害コードの実行が可能に　研究者が方法を紹介 https://www.theregister.com/research/2026/08/28/researcher-shows-how-claude-code-can-be-tricked-simply-by-asking-it-to-summarize-a-website/5293372 ・ブロックチェーンのスキミング：マルバタイズスキャン中にEtherHidingを使うMagecartキャンペーンが発見される https://blog.confiant.com/p/skimming-on-the-blockchain-a-magecart ・100社に個人データの開示を要求した結果、数社は勝手にデータを削除 https://arstechnica.com/tech-policy/2026/08/i-asked-100-companies-for-my-data-some-deleted-it-instead/ ・悪用追跡：ADCSデータベースを通じた権限昇格の検知 https://www.guidepointsecurity.com/blog/detecting-privilege-escalaction-through-adcs/ ・Chromeウェブストアの拡張機能で暗号資産やブラウザデータを窃取 https://www.bleepingcomputer.com/news/security/chrome-web-store-extensions-caught-stealing-crypto-browser-data/ ＜その他＞ ・アンソロピック、Claude Codeの週次利用制限枠を17％縮小へ ・

[CVE] CVE-2026-82222 [HIGH PRIORITY] #WordPress GiveWP plugin <= 4.16.7.1 - Remote Code Execution (RCE) vulnerability 🔗 https://exploitgrid.net/cve/CVE-2026-82222

🛡️ ExploitGrid Daily Threat Digest Top Vulnerabilities (CVEs) of the day CVE-2026-19295 - EXPLOIT CVE-2026-54745 CVE-2026-82222 CVE-2026-18527 CVE-2026-55565 ..🧵👇

Critical GiveWP WordPress Flaw Lets Hackers Execute Commands Remotely https://www.abijita.com/givewp-wordpress-vulnerability-cve-2026-82222/

Critical Vulnerability Alert | CVE-2026-82222 Learn more : CVE: https://www.cve.org/CVERecord?id=CVE-2026-82222 CERT-In: https://www.cert-in.org.in/s2cMainServlet?pageid=PUBVLNOTES01&VLCODE=CIVN-2026-0434 #CVE #CriticalVulnerability #VAPT #ThreatIntelligence #VulnerabilityManagement #CERTInEmpanelled #CyberSecurity #RootNikLabs https://t.co/6DvuZKw14O

🔴 GiveWP CVE-2026-82222 carries a CVSS 10.0 score. • No authentication required • PHP object injection 👉 Partner with Digital Warfare today and discover why organizations trust us to identify hidden WordPress exposure Read more: https://www.linkedin.com/pulse/critical-givewp-cve-2026-82222-could-turn-wordpress-donation-knight-vm0ce https://t.co/ymND32oxAd

Vulns in WordPress plugins and themes. CVE-2026-82222, CVSS 10 - https://secalerts.co/vulnerability/CVE-2026-82222 CVE-2026-76581 - https://secalerts.co/vulnerability/CVE-2026-76581 CVE-2026-18431 - https://secalerts.co/vulnerability/CVE-2026-18431 CVE-2026-19632 - https://secalerts.co/vulnerability/CVE-2026-19632 CVE-2026-19598 - https://secalerts.co/vulnerability/CVE-2026-19598 #ciso #cio #cto #msp #mssp https://t.co/ILSfPKqogV

@rome0xsec There , https://github.com/dinosn/givewp-cve-2026-82222-rce-lab made it since you couldn't find it