中国の国家支援型攻撃者が、ARTEXと呼ばれる自律型AIペネトレーションテストエージェントをConnectWiseへの攻撃に用い、数百の組織を標的にして一部で特権アクセスを得た。OTXの解説は、同じツール群を10月を通じてStorm-0940が、ITおよびソフトウェアベンダーに対し、OktaやEntraを含むIDプロバイダーを狙って使用したとしている。別に、研究者らはINCおよびThe Gentlemenのランサムウェア集団のアフィリエイトに属する公開状態のインフラを発見した。そこではPhantomと名付けられた「Autonomous Red Team Kill Chain Framework」が稼働しており、The Gentlemenは同日に3件の被害者を掲載した。Dark Readingの数字はこれを一層際立たせる。オープンウェイトモデルを使った1つのキャンペーンが105のサイトを攻撃し、公開モデルが12ドルでドメインの完全な制御を得たという。
Kaspersky は、DBX失効を適用していない完全にパッチ済みのWindowsホストでSecure Bootを回避するUEFIブートキットBlackXを、APT41によるものと断定した。2026年初頭にタジキスタン、ウズベキスタン、トルクメニスタンの外交機関を標的としたキャンペーンである。永続化はOSの下層にあるファームウェアに置かれ、EDRは何も判断できない。これとは別に、ESETは、SandwormがUAC-0099と連携してウクライナの穀物物流企業を攻撃したと説明している。2025年7月16日のスピアフィッシングでMATCHWOKバックドアが配信され、続いてYggdrasil対応のメッシュネットワーク型バックドアMythicRatatoskrが、破壊的なワイパー攻撃で用いられた。両者は同じ日に報告されているが、共通する指標はなく、誰かが両者を矢印で結ぶ前に、そのことを明言しておく価値がある。一方、イランのPrince of Persiaは、米国の共有ホスティング上にTornadoのC&Cサーバーを置いた。2016年以来初めての米国内サーバーである。
HPEはArubaOSの72件の脆弱性に対する修正を公開した。うち8件は最高深刻度の認証回避およびコード実行の問題である。Atlassianの10月のバルクレチンは、75件の脆弱性に及ぶ176件のエントリを掲載しており、うち14件は重大で、すべてサードパーティコンポーネントに起因する。Rubyは正規表現エンジンOnigmoの3件のバグを修正する4.0.9、3.4.12、3.3.13をリリースした。これらは過去1か月に修正されたGitLabの4件の重大なRCEの背後にあることが判明している。またPython向けで最も使われている画像ライブラリPillowには、EPSファイルの名前がGhostscriptに渡されてOSコマンドになるCVE-2026-112900がある。Microsoftはさらに、Windows Server 2016が2027年1月にセキュリティ更新の提供を終えることを確認した。これは調達で答えが出るパッチの問題である。
Whitearmorは10月23日に5件のエントリを掲載し、うち1件には「Hi. We now have a clearnet domain for easy-access. WhiteArmor.cc」とあった。ransomware.liveとransomlookはいずれも、whitearmor.ccを主張された被害者として記録した。つまり、ある犯罪集団が、脅威インテリジェンスのパイプライン上で自らを恐喝することに成功したことになる。同日の他の主張は、米国の物流企業のものとされる従業員記録140,838件を含め、未検証のままである。他の奇妙な話では、英国政府が海底ケーブルの破壊行為に対する14年の禁錮刑を提案している。現行の根拠法が1885年の海底電信法で、罰則の上限が1,000ポンドの罰金と5年にとどまるためである。
Nothing to seeランサムウェアの活動と2件の新規KEVとの間に、攻撃者やCVEの関連は一切示されなかった。OnePlus OxygenOSのroot権限でのコマンドインジェクション、WordPressプラグインの山、SVG解析のバグ、OpenStackのプロジェクト横断の開示問題は、それぞれ個別の脆弱性であり、背後に何もない。Atlasの複合危機に関する国別ストーリーは信頼度0.425にとどまり、防御側が行動に移せることは何も述べていない。infosec.exchangeの燃え尽きに関する投稿は脅威のシグナルではなく、人々であり、彼らは疲れている。
Ivanti publishes a fix or formal mitigation for the third flaw in the Connect Secure chain.
Called Wed 14 Oct · due Sat 24 Oct
Due 24 Oct. No item shows an Ivanti advisory, fix or mitigation for a third Connect Secure flaw.
wrong
N0n names at least one of the placeholder listings 'Company #63', '#64' or '#65' on its leak site.
Called Wed 14 Oct · due Sat 24 Oct
Due 24 Oct. No item shows Company #63, #64 or #65 being named. N0n's named claims on 23 Oct are other victims.
partly
CISA adds at least one further edge or remote-access device CVE (Fortinet, Ivanti, Cisco, Palo Alto, BeyondTrust class) to KEV by 30 October 2026.
Called Sat 17 Oct · due Fri 30 Oct
CISA added Arista VeloCloud Orchestrator (an SD-WAN edge-management product) to KEV on 23 Oct. It is not one of the named vendors, so whether it counts as the same class is arguable.
UpTransportation — 2.2× its own prior share (70 claims, 32 expected)
UpEducation — 1.8× its own prior share (47 claims, 26 expected)
UpHealthcare — 1.4× its own prior share (112 claims, 78 expected)
DownRetail & E-Commerce — 0.8× its own prior share (47 claims, 61 expected)
23% of claims carry no sector label.
Brand churn
Of the 80 leak-site brands first seen since 2026-06-01, 78% were still claiming 30 days after their first post and 78% were still claiming 60 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 56 old enough to judge posted on one day and never again; 41% made at least half their claims in their first week. New brands this month: 11 — newest: Whitearmor (2026-10-23, 3 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (6.9× every other brand's share); N0n put 38% of its claims on Transportation (8.3× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: qilin across 10.0 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 68% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 181 claims at weekends and half its claims in 12:00–13:59 UTC; half of Deadlock's claims appeared in 12:00–13:59 UTC. Leak sites overall are 41% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers