This posting is here to collect cyber security news in April 2026.
I post links to security vulnerability news to comments of this article.
You are also free to post related links to comments.
This posting is here to collect cyber security news in April 2026.
I post links to security vulnerability news to comments of this article.
You are also free to post related links to comments.
79 Comments
Tomi Engdahl says:
Gian Volpicelli / Bloomberg:
The EU unveils an open-source age verification app, which requires showing ID, to shield kids from harmful content, setting the standard for verification tech — The European Union has unveiled an app to confirm users’ age online, setting the standard for verification technology …
https://www.bloomberg.com/news/articles/2026-04-15/eu-unveils-age-verification-app-as-social-media-bans-gain-steam
Tomi Engdahl says:
Matt Burgess / Wired:
Analysis: nearly 90 schools and 600+ students globally have been impacted by AI-generated deepfake nudes; North America had nearly 30 reported cases since 2023 — An analysis by WIRED and Indicator found nearly 90 schools and 600 students around the world impacted by AI-generated deepfake nude images …
The Deepfake Nudes Crisis in Schools Is Much Worse Than You Thought
An analysis by WIRED and Indicator found nearly 90 schools and 600 students around the world impacted by AI-generated deepfake nude images—and the problem shows no signs of going away.
https://www.wired.com/story/deepfake-nudify-schools-global-crisis/
Tomi Engdahl says:
ICS/OT
Sweden Blames Pro-Russian Group for Cyberattack Last Year on Its Energy Infrastructure
https://www.securityweek.com/sweden-blames-pro-russian-group-for-cyberattack-last-year-on-its-energy-infrastructure/
In what was Sweden’s first public mention of the attack, the country’s minister for civil defense said it targeted a heating plant in western Sweden.
Tomi Engdahl says:
Fiona Kelliher / MIT Technology Review:
How cyberscammers are bypassing major banks’ KYC facial scans using stolen biometric data and virtual camera tools sold via Telegram channels — EXECUTIVE SUMMARY — From inside a money-laundering center in Cambodia, an employee opens a popular Vietnamese banking app on his phone.
Cyberscammers are bypassing banks’ security with illicit tools sold on Telegram
https://www.technologyreview.com/2026/04/15/1135898/cyberscammers-bypassing-bank-telegram/
MIT Technology Review identified nearly two dozen channels and groups purporting to break major crypto exchanges and name-brand banks.
From inside a money-laundering center in Cambodia, an employee opens a popular Vietnamese banking app on his phone. The app asks him to upload a photo associated with the account, so he clicks on a picture of a 30-something Asian man.
Next, the app requests to open the camera for a video “liveness” check. The scammer holds up a static image of a woman bearing no resemblance to the man who owns the account. After a 90-second wait—as the app tells him to readjust the face inside the frame—he’s in.
The exploit he’s demonstrating, in a video shared with me by a cyberscam researcher named Hieu Minh Ngo, is possible thanks to one of a growing range of illicit hacking services, readily available for purchase on Telegram, that are designed to break “Know Your Customer” (KYC) facial scans.
These banking and crypto safeguards are supposed to confirm that an account belongs to a real person, and that the user’s face matches the identity documents that were provided to open the account. But scammers are bypassing them in order to open mule accounts and launder money. Rather than using a live phone camera feed for a liveness check, the hacks typically deploy a tool known as a virtual camera. Users can replace the video stream with other videos or photos—depicting a real or deepfake person or even an object.
Tomi Engdahl says:
BlueHammer: Inside the Windows Zero-Day
Written by Admin | April 7, 2026 4:06:30 PM Z
Summary
On April 3rd, 2026, a security researcher operating under the alias “Chaotic Eclipse” dropped a fully functional Windows local privilege escalation exploit on GitHub – no coordinated disclosure, no CVE, no patch. Just working exploit code and a pointed message to Microsoft’s Security Response Center: “I was not bluffing Microsoft, and I’m doing it again.”
https://www.cyderes.com/howler-cell/windows-zero-day-bluehammer
Tomi Engdahl says:
BlueHammer & RedSun: Windows Defender CVE-2026-33825 Zero-day Vulnerability Explained
https://www.picussecurity.com/resource/blog/bluehammer-redsun-windows-defender-cve-2026-33825-zero-day-vulnerability-explained
On April 7, 2026, a zero-day vulnerability in Microsoft Defender, tracked as CVE-2026-33825, was publicly disclosed alongside a working proof-of-concept exploit. The vulnerability enables local privilege escalation, allowing an unprivileged user to gain SYSTEM-level access on fully patched Windows 10 and Windows 11 systems. The exploit, referred to as “BlueHammer”, was released prior to the availability of an official fix, making it a true zero-day at the time of disclosure.
In this blog, we explain how the Windows Defender CVE-2026-33825 vulnerability works, its real-world risk to organizations, and provide practical steps for validation and remediation.
Tomi Engdahl says:
Disgruntled researcher leaks “BlueHammer” Windows zero-day exploit
https://www.bleepingcomputer.com/news/security/disgruntled-researcher-leaks-bluehammer-windows-zero-day-exploit/
Tomi Engdahl says:
Read why it can be hacked so fast: https://cnews.link/eu-age-verification-app-hack/
#hack #EU #app
Tomi Engdahl says:
https://etn.fi/index.php/13-news/18796-nokia-tuo-ddos-suojauksen-suoraan-verkon-ytimeen
Nokia ja Cinia tuovat Suomeen uuden mallin kriittisen infrastruktuurin suojaamiseen. Kyse ei ole erillisestä turvakerroksesta, vaan ratkaisusta, joka on rakennettu suoraan IP-verkon sisään.
Cinia ottaa käyttöön Nokian Deepfield Defender -teknologiaan perustuvan palvelun, joka tunnistaa ja torjuu palvelunestohyökkäykset reaaliajassa. Tavoitteena on varmistaa, että yhteiskunnan kannalta kriittiset yhteydet pysyvät toiminnassa myös yhä monimutkaisemmassa uhkaympäristössä.
Ratkaisun ydin on siinä, että se hyödyntää suoraan verkon omaa telemetriadataa, kuten IP-liikennevirtoja, BGP-reititystietoa ja DNS-kyselyitä. Näin liikenteestä saadaan kokonaiskuva ilman erillisiä mittalaitteita tai liikenteen purkamista. Analytiikka yhdistetään Nokian ylläpitämään internetin tilannekuvaan, mikä auttaa tunnistamaan poikkeamat ja hyökkäykset nopeasti.
Teknisesti lähestymistapa poikkeaa perinteisistä DDoS-suojauksista, joissa liikennettä ohjataan erillisiin suodatuskeskuksiin. Nyt torjunta tapahtuu suoraan verkon sisällä, mikä lyhentää reagointiaikaa ja vähentää viivettä. Nokian mukaan ratkaisu mahdollistaa koko verkon laajuisen näkyvyyden ja kontekstin ymmärtämisen myös tilanteissa, joissa liikenne on salattua.
Tomi Engdahl says:
Read more: https://cnews.link/eu-age-verification-app-hack/
Tomi Engdahl says:
Anthropic won’t own MCP ‘design flaw’ putting 200K servers at risk, researchers say
Bug or feature?
https://www.theregister.com/2026/04/16/anthropic_mcp_design_flaw/
A design flaw – or expected behavior based on a bad design choice, depending on who is telling the story – baked into Anthropic’s official Model Context Protocol (MCP) puts as many as 200,000 servers at risk of complete takeover, according to security researchers.
The Ox research team says they “repeatedly” asked Anthropic to patch the root issue, and were repeatedly told the protocol works just fine, thank you, despite 10 (so far) high- and critical-severity CVEs issued for individual open source tools and AI agents that use MCP. A root patch, according to Ox, could have reduced risk across software packages totaling more than 150 million downloads and protected millions of downstream users.
Anthropic “declined to modify the protocol’s architecture, citing the behavior as ‘expected,’” Ox researchers Moshe Siman Tov Bustan, Mustafa Naamnih, Nir Zadok, and Roni Bar said in a blog about their research, which began in November 2025 and included more than 30 responsible disclosure processes.
According to the security sleuths, the root issue lies in MCP, an open source protocol originally developed by Anthropic that LLMs, AI applications, and agents use to connect to external data, systems, and one another. It works across programming languages – which means any developer using Anthropic’s official MCP software development kit across any supported language, including Python, TypeScript, Java, and Rust, inherits this vulnerability.
MCP uses STDIO (standard input/output) as a local transport mechanism for an AI application to spawn an MCP server as a subprocess. “But in practice it actually lets anyone run any arbitrary OS command, if the command successfully creates an STDIO server it will return the handle, but when given a different command, it returns an error after the command is executed,” the Ox researchers wrote.
Abusing this logic can lead to four different types of vulnerabilities.
All roads lead to RCE
The first type of vulnerability, unauthenticated and authenticated command injection, allows an attacker to enter user-controlled commands that will run directly on the server without authentication or sanitization. This can lead to total system compromise, and any AI framework with a publicly facing UI is vulnerable, we’re told.
The second attack vector, unauthenticated command injection with hardening bypass, allows miscreants to bypass protections and user input sanitization implemented by developers to run commands directly on the server.
The third type of vulnerability allows zero-click prompt injection across AI integrated development environments (IDEs) and coding assistants such as Windsurf, Claude Code, Cursor, Gemini-CLI, and GitHub Copilot.
All of the other IDEs and vendors – including Google, Microsoft, and Anthropic – said this was a known issue, or not a valid security vulnerability because it requires explicit user permission to modify the file.
Finally, the fourth vulnerability family can be delivered through MCP marketplaces, and the threat hunters say they “successfully poisoned” nine out of 11 of these marketplaces – but using a proof-of-concept MCP that runs a command generating an empty file, not malware.
“The marketplaces that accepted our submission include platforms with hundreds of thousands of monthly visitors,” the security shop wrote. “A single malicious MCP entry in any of these directories could be installed by thousands of developers before detection – each installation giving an attacker arbitrary command execution on the developer’s machine.”
Tomi Engdahl says:
Sweden’s minister of civil defence, Carl-Oskar Bohlin, told a press conference that a heating facility in western Sweden was subjected to an attempted “destructive attack” by a pro-Russian activist group in the spring of 2025.
https://www.thelocal.se/20260415/pro-russian-group-attempted-to-attack-swedish-heating-plant?utm_source=facebook&utm_medium=facebook&tpcc=facebookmn
Tomi Engdahl says:
Disgruntled hacker drops second zero-day Windows Defender exploit just hours after Microsoft patches first one
https://cybernews.com/security/second-public-windows-defender-exploit-released/?utm_source=cn_facebook&utm_medium=social&utm_campaign=cybernews&utm_content=post&source=cn_facebook&medium=social&campaign=cybernews&content=post&fbclid=IwdGRjcARPjUhjbGNrBE-NNWV4dG4DYWVtAjExAHNydGMGYXBwX2lkDDM1MDY4NTUzMTcyOAABHqgkB2cfGJrLAOUcddYUYTYngFaj3tp-h6IeiGg3RGXhTr2_zkxIcBNCHP7q_aem_smmBXFomJIxdEIGfkxMrbQ
A vindictive security researcher has publicly dropped a second Windows Defender privilege escalation exploit, less than two weeks after Microsoft scrambled to plug the first one. The vigilante is threatening to start releasing even more dangerous remote code execution exploits because Microsoft “mopped the floor with me.”
Key takeaways:
A rogue researcher, out of frustration, released a second Windows Defender exploit immediately after Microsoft patched the first vulnerability.
The privilege escalation exploit abuses Defender to overwrite system files and gain SYSTEM-level access.
The researcher threatens to release even more severe remote code execution (RCE) exploits.
Tomi Engdahl says:
https://www.bleepingcomputer.com/news/microsoft/microsoft-teams-right-click-paste-broken-by-edge-update-bug/?fbclid=IwdGRjcARQcy9leHRuA2FlbQIxMQBzcnRjBmFwcF9pZAwzNTA2ODU1MzE3MjgAAR5MQThhSUX11o21IyGkVEK0cHoXwrrPGt9PcknF423AkObN_hrsO_OU_bWBmA_aem_3Q2AIhKASmkTIYUZxOkXAw
Tomi Engdahl says:
The Internet Was Weeks Away From Disaster and No One Knew
https://www.youtube.com/watch?v=aoag03mSuXQ
How a single hack infected the world’s most important operating system.
0:00 The Free Software Foundation
5:03 Why is Linux so popular?
9:57 The XZ Weakness
12:07 End To End Encryption – SSH
18:40 How To Compress Data
23:47 How The .XZ Hack Worked
34:24 A Bug In Jia’s Code
38:27 Henry Hacks Derek
43:16 The Back Door Is Exposed
47:16 Who is Jia Tan?
50:33 Open Vs Closed Source
Tomi Engdahl says:
https://www.stara.fi/2026/04/19/tekosi-voi-olla-rikos-krp-ottaa-yhteytta-tuhansiin-suomalaisiin/?utm_medium=Social&utm_page=Stara&utm_source=Facebook&Echobox=1776588838&fbclid=IwdGRjcARSheFjbGNrBFKFjGV4dG4DYWVtAjExAHNydGMGYXBwX2lkDDM1MDY4NTUzMTcyOAABHgmxVNg6eIluly9LydwohEPXW-M4s9ukOhGYO56hpsjbeCMpHRCB-HX3_X8i_aem_3TrBk8i_wCicCbgJhCmtIg
Tomi Engdahl says:
Opsec oopsie: Dutch navy frigate location outed by mailing it a Bluetooth tracker
Or, how public information and a €5 tracker exposed an avoidable opsec lapse
https://www.theregister.com/2026/04/17/dutch_navy_frigate_tracked/
Militaries around the world spend countless hours training, developing policies, and implementing best operational security practices, so imagine the size of the egg on the face of the Dutch navy when journalists managed to track one of its warships for less than the cost of some hagelslag and a coffee.
The security snafu was reported by Dutch regional broadcaster Omroep Gelderland. In a Thursday report, Omroep Gelderland journalist Just Vervaart said the broadcaster was able to track HNLMS Evertsen, a Dutch air-defense frigate deployed to help protect France’s aircraft carrier Charles de Gaulle against missile threats, by mailing a Bluetooth tracker concealed in a postcard to the ship.
Tomi Engdahl says:
Suomalaisen henkilöllisyyden voi ostaa 90 dollarilla
https://etn.fi/index.php/13-news/18813-suomalaisen-henkiloellisyyden-voi-ostaa-90-dollarilla
Kyberturvayhtiö NordVPN varoittaa, että suomalaisten henkilötiedot liikkuvat pimeässä verkossa yllättävän alhaiseen hintaan. Yhtiön yhdessä NordStellar kanssa tekemän analyysin mukaan täydellinen suomalainen identiteettipaketti maksaa keskimäärin vain noin 90 dollaria.
- Jokaisella omistamallasi verkkotilillä on hintalappu pimeässä verkossa, sanoo NordVPN:n teknologiajohtaja Marijus Briedis. Hänen mukaansa moni yllättyisi siitä, kuinka vähän koko digitaalinen identiteetti rikollisille maksaa.
Suomalaiset maksukorttitiedot kuuluvat analyysin mukaan halvimpien joukkoon, mediaanihinnan ollessa 9,75 dollaria. Vastaavat tiedot maksavat enemmän maissa, joissa varastettuja tietoja on tarjolla vähemmän. Myös henkilöllisyysasiakirjojen hinnat ovat matalia: passin digitaalinen kopio maksaa noin 35 dollaria ja ajokortti hieman yli 40 dollaria.
Yritysten tunnukset ovat selvästi arvokkaampia. Esimerkiksi varastetuista Microsoftin yritystileistä maksetaan keskimäärin lähes 30 dollaria, koska niiden kautta voidaan päästä käsiksi kokonaisiin yritysverkkoihin. Tämä tekee niistä houkuttelevia niin sanotuille alkupääsyn välittäjille, jotka myyvät murrettuja järjestelmiä eteenpäin.
Sosiaalisen median ja suoratoistopalvelujen tilit muodostavat oman markkinansa. Facebook-tilistä maksetaan keskimäärin noin 38 dollaria ja TikTok-tilistä jopa 60 dollaria, kun taas Netflix-tilin saa alle viidellä dollarilla. Kryptopörssitilit ovat kalleimpia yksittäisiä kohteita, koska ne tarjoavat suoran pääsyn varoihin.
NordVPN korostaa, että käyttäjä ei yleensä tiedä tietojensa päätyneen myyntiin ilman aktiivista seurantaa.
Tomi Engdahl says:
Serial-to-IP Converter Flaws Expose OT and Healthcare Systems to Hacking
Forescout researchers discovered 20 new vulnerabilities in Lantronix and Silex products and described theoretical attack scenarios.
https://www.securityweek.com/serial-to-ip-converter-flaws-expose-ot-and-healthcare-systems-to-hacking/
Tomi Engdahl says:
“Sovellus saa tiedon käyttäjän iästä joko passista tai henkilöllisyystodistuksesta. Tiedon ei kuitenkaan pitäisi päätyä sovelluksesta eteenpäin seuraaville sivustoille kuten pornosivulle. Tietoturvakonsultti kertoo hakkeroineensa sovelluksen alle kahdessa minuutissa.”
Politico: EU:n iänvarmennussovellus hakkeroitiin minuuteissa
Sovelluksen tarkoitus on varmentaa käyttäjän ikä henkilötietoja luovuttamatta. Esitettyjen väitteiden mukaan kumpikaan ei toteudu.
https://yle.fi/a/74-20221906?fbclid=IwdGRjcARVW2JjbGNrBFVbLmV4dG4DYWVtAjExAHNydGMGYXBwX2lkDDM1MDY4NTUzMTcyOAABHvTLgx3EzNScmB-jL8iL2WKnzFdxIbCdzXeQV7jHOtIaJjqKCBKBqhHg_MjN_aem_sf4E6tS4Z-x42jC49uTMHA
Juttu tiivistettynä
EU:n uudessa iänvarmennussovelluksessa on Politico-lehden mukaan vakavia tietoturvaongelmia.
Alaikäisten pääsyä pornosivuille rajoittava sovellus onnistuttiin hakkeroimaan alle kahdessa minuutissa.
Komission mukaan kyseessä oli vanha demoversio, ja viat on sittemmin korjattu.
Politicon haastattelemat asiantuntijat kiistävät komission väitteen.
EU:n uudessa iänvarmennussovelluksessa on ongelmia sekä yksityisyydensuojan että turvallisuuden kanssa, kirjoittaa Politico-lehti.
Euroopan komission puheenjohtaja Ursula von der Leyen esitteli uuden sovelluksen viime viikolla. Sovellus on von der Leyenin mukaan teknisesti valmis, ja pian tulossa käyttöön.
Sovelluksella voidaan estää alaikäisten pääsy esimerkiksi pornosivuille.
Sovellus saa tiedon käyttäjän iästä joko passista tai henkilöllisyystodistuksesta. Tiedon ei kuitenkaan pitäisi päätyä sovelluksesta eteenpäin seuraaville sivustoille kuten pornosivulle.
Sovelluksen lähdekoodi on avoin, ja Github-palvelussa sitä ruotineet käyttäjät ovat ilmoittaneet useista ongelmakohdista.
Hakkeroitavissa alle kahdessa minuutissa
Politico siteeraa somejulkaisua, jossa tietoturvakonsultti kertoo hakkeroineensa sovelluksen alle kahdessa minuutissa.
Euroopan komissio esitti perjantaina tarkennuksen ilmoitukseen siitä, että sovellus on valmis.
– Kun sanomme, että se on valmis, se on silti vielä demoversio, komission tiedottaja sanoi Politicolle.
Komissio sanoi tiedotteessa myös, että hakkeroinnin kohteeksi joutunut sovellus oli aikaisempi versio. Siinä esiintyneet haavoittuvuudet oli komission mukaan korjattu.
Politicon haastattelemat asiantuntijat kiistivät, että kyseessä olisi ollut vanha versio. Heidän mukaan he käyttivät koodin uusinta julkistettua versiota.
Tomi Engdahl says:
Read more about vulnerabilities: https://cnews.link/mythos-finds-271-firefox-vulnerabilities/
#Firefox #Mozilla
Tomi Engdahl says:
Uudet kyberturvallisuuden skenaariot 2035 varoittavat riskeistä
https://www.uusiteknologia.fi/2026/04/22/uudet-kyberturvallisuuden-skenaariot-2035-varoittavat-riskeista/
Liikenne- ja viestintävirasto Traficom on julkaissut vuoteen 2035 sijoittuvat skenaariot, jotka kuvaavat neljää vaihtoehtoista tulevaisuutta. Niissä kaikissa nousevat esille tekoäly, toimitusketjut, informaatioympäristön luotettavuus sekä kriittisen infrastruktuurin kytkeytyneisyys.
Traficomin skenaariot osoittavat, että tekoäly voi muuttaa kyberturvallisuuden luonteen entistä selvemmin infrastruktuurikysymykseksi. Keskiöön nousevat data, laskenta, hallintakerrokset, agenttiekosysteemit ja niiden kytkökset yhteiskunnan kriittisiin prosesseihin.
https://www.traficom.fi/fi/julkaisut/kyberturvallisuuden-skenaariot-2035
Tomi Engdahl says:
https://etn.fi/index.php/13-news/18820-tekoaely-avaa-hakkerille-uusia-ovia-myoes-suomessa-tilivuodot-kasvussa
Tomi Engdahl says:
https://www.facebook.com/share/1CoMh981tk/
Tässä muistutus, että Node.js:n lisäksi toimitusketjuhyökkäyksiä on myös Pythonissa, Go:ssa, jne. Artikkelissa on myös näppärä lista mitä kaikkia tiedostoja kehittäjän koneelta hyökkäykset poimivat talteen. Suosittuja ovat esimerkiksi SSH-, Git-, AWS-, Kubernetes-, Docker-, NPM-, PyPi-, Cargo-, Postgres-, MySQL-, Redis-, VPN-, TLS- avaimet ja kryptolompakot. Eli kantsii miettiä, onko omassa kotihakemistossa noita turhan vapaasti saatavilla.
TeamPCP strikes again: Xinference PyPI package compromised
https://research.jfrog.com/post/xinference-compromise/?fbclid=IwdGRjcARXXOljbGNrBFdc0mV4dG4DYWVtAjExAHNydGMGYXBwX2lkDDM1MDY4NTUzMTcyOAABHiaaLXHElYkaw13IEqkPPQFzKB4Qu7sP8_Ob8-VqeffckZSxg5QM8OOXTga9_aem_bbtk9QcrKzSUVPhkMJSgIg
Tomi Engdahl says:
Police investigate after claims ‘hair dryer used to manipulate weather sensor to win $34k bet’
Agencies suspect that a sensor at Charles de Gaulle airport in Paris was tampered with after suspicious bets were placed on Polymarket
https://www.independent.co.uk/news/world/europe/hair-dryer-bet-polymarket-france-police-b2963620.html?fbclid=IwdGRjcARXzu1jbGNrBFfOzmV4dG4DYWVtAjExAHNydGMGYXBwX2lkDDM1MDY4NTUzMTcyOAABHjLzxDm1iPBZNlHX5WX6OsctRHD50BYOJSADRJOX_TgVjEmYiafgjxzIwx_0_aem_c8M7hvDyynGEgbgQ4oQ7rQ
French officials are investigating after $34,000 (£25,100) was won on a weather bet, following claims that a temperature sensor at Charles de Gaulle airport in Paris was tampered with.
Tomi Engdahl says:
https://www.darkreading.com/ics-ot-security/serial-ip-devices-thousands-of-bugs
Tomi Engdahl says:
Pankki varoittaa: Älä käytä tällaista laitetta asiointiin
https://www.is.fi/digitoday/tietoturva/art-2000011964888.html
Yksi suurimmista riskitekijöistä digiasioinnissa ovat päivittämättömät älypuhelimet ja käyttöjärjestelmät, Danske Bank varoittaa.
Tomi Engdahl says:
https://thehackernews.com/2026/04/china-linked-gopherwhisper-infects-12.html
Tomi Engdahl says:
https://www.tivi.fi/uutiset/a/6a646521-e454-4233-8a62-d65dff10d70f