Većina priča o bezbednosti u ovom biltenu govori o stvarima koje se dešavaju direktno vama: fišing poruci, procureloj lozinki, lažnom sajtu za kupovinu. Ova je drugačija. Incidenti u nastavku dogodili su se programerima — ljudima koji pišu aplikacije i servise koje svakodnevno koristite. Ali razlog zbog kog pripadaju ovde je jednostavan: ako neko otruje alate koji se koriste za izradu softvera, otrov ne ostaje kod onoga ko ga je napravio. On se isporučuje zajedno s proizvodom.

Nedavno su se dogodile dve stvari koje to ilustruju. Nijedna nije dospela na naslovne strane kao veliki upad, jer nijedna nije upad u vaše sisteme, konkretno. Obe su napadi na proces kojim nastaje softver koji ćete na kraju instalirati, otvoriti ili se u njega prijaviti.

Krivotvorene ekstenzije prerušene u pouzdane brendove

Open VSX je javno tržište ekstenzija za uređivače koda — malih dodataka koje programeri instaliraju da bi dobili automatsko dopunjavanje, linting i integracije za alate koje svakodnevno koriste (Visual Studio Code i nekoliko njegovih open-source srodnika preuzimaju ekstenzije odatle). Između 26. jula i 1. avgusta 2026, istraživači bezbednosti iz kompanije Manifold Security pronašli su 77 krivotvorenih ekstenzija u registru. Svaka je kopirala naziv i prostor imena stvarne, pouzdane ekstenzije, ali je objavljena sa naloga koji nije bio vlasnik originala — klasičan pokušaj lažnog predstavljanja, ponekad nazivan i zauzimanjem prostora imena.

Zauzeti nazivi nisu bili nasumični. Pozajmljivali su identitete kompanija AMD, LEGO Education, Hyperledger, Azure, Artsy, Salesforceovih open-source projekata, jedne savezne agencije SAD i — u izvesno mračno ironičnom obratu — samog tržišta ekstenzija. Svaki od 77 paketa javljao se jednom jedinom domenu koji je registrovan samo 11 dana pre pojavljivanja prvog lažnog paketa, što ukazuje na koordinisanu, namenski osmišljenu kampanju, a ne na oportunističko kopiranje.

Većina lažnih ekstenzija radila je nešto relativno bezazleno: neprimetno je slala naziv hosta nazad na server napadača, što samo po sebi možda predstavlja tek proveru ko je postavio mamac. Ali istraživači su utvrdili da je otprilike četvrtina od 77 — 19 paketa — išla korak dalje. Nekoliko sekundi nakon aktiviranja prikupljali su naziv hosta, korisničko ime operativnog sistema, podatke o uređivaču i ID mašine. Zatim su čitali projekat koji je programer imao otvoren: git remote (koji otkriva organizaciju i host repozitorijuma), domen adrese e-pošte za commit, trenutnu granu i poslednji commit. Takođe su preuzimali vrednosti za kontinuiranu integraciju — akreditive i konfiguraciju koji automatizovanim sistemima omogućavaju da izgrade i isporuče kod bez toga da čovek svaki put ručno unosi lozinku.

Nijedan od tih podataka nije koristan za pražnjenje nečijeg bankovnog računa. Koristan je za nešto drugo: utvrđivanje za koje kompanije programer radi, kako izgleda njihova interna infrastruktura i kako u nju prodrijeti.

Greška sa ocenom 9,8 od 10 u mašini koja gradi softver

Drugi incident tiče se platforme TeamCity za kontinuiranu integraciju i kontinuiranu isporuku (CI/CD), koju proizvodi JetBrains. Ako je uređivač koda mesto na kom programeri pišu softver, CI/CD platforma je automatizovani fabrički pogon gde se taj kod kompajlira, testira i šalje u produkciju — često bez ijednog ljudskog klika na „deploy“. TeamCity je centralni deo te mašinerije u velikom broju kompanija.

Ranjivost označena kao CVE-2026-63077, sa ocenom ozbiljnosti 9.8 od mogućih 10, objavljena je za lokalno instalirane verzije TeamCityja. Reč je o propustu u deserijalizaciji — klasi grešaka kod kojih program dovoljno veruje pristiglim podacima da ih direktno pretvori u izvršni kod, a da prethodno ne proveri šta ti podaci zapravo predstavljaju. U praksi, napadaču je omogućavala da pošalje zahtev ranjivom TeamCity serveru, bez potrebe za prijavljivanjem, i pokrene proizvoljne komande sa istim privilegijama koje ima sam TeamCity servis. JetBrains je objavio zakrpe (verzije 2025.11.7 i 2026.1.3, kao i dodatak sa zakrpom za starije instalacije 2017.1+), ali je američka Agencija za sajber-bezbednost i bezbednost infrastrukture (CISA) u međuvremenu upozorila da napadači aktivno iskorišćavaju nezakrpljene sisteme.

Ko god kontroliše server za izgradnju neke kompanije, kontroliše ono što ta kompanija isporučuje. To nije hipotetička tvrdnja — to je doslovna funkcija tog alata.

Isti priručnik, dvoja različita vrata

Ovo su nepovezani incidenti koje su otkrili različiti istraživači, ali imaju sličnu strukturu. Nijedan ne napada gotov proizvod. Oba napadaju korak ranije — uređivač u kom programer piše kod ili server koji taj kod pretvara u objavljeno izdanje. To je osnovna odlika napada na lanac snabdevanja softverom: umesto da provalite u jednu metu, kompromitujete nešto uzvodno od nje, od čega zavisi mnogo meta, i omogućite da njihov sopstveni pouzdani proces prenese vaš pristup dalje umesto vas.

Vredi otvoreno reći šta još ne znamo. Nijedan izveštaj koji se pojavio ove nedelje nije objavio potvrđen slučaj kompromitovanja neke aplikacije ili korisnika nizvodno kao direktne posledice — kampanja sa ekstenzijama deluje kao izviđanje i prikupljanje pristupa, a iskorišćavanje TeamCityja opisano je kao aktivno, ali bez imenovanih žrtava. To je uobičajeno; kompromitovanja lanca snabdevanja često se otkriju na ulaznoj tački mnogo pre nego što se (ili umesto da se) uđe u trag konačnoj koristi.

Zašto je ovo vaš problem, a ne samo njihov

Verovatno nikada nećete instalirati ekstenziju za kod niti pokretati CI/CD server. Ali koristite rezultate rada stotina takvih sistema: svoju bankarsku aplikaciju, menadžer lozinki, školski portal svog deteta, pregledač u kom ovo čitate. Sve je to prošlo kroz nečiji uređivač i kroz proces izgradnje neke kompanije pre nego što je stiglo do vašeg telefona. Ako je bilo koja od te dve karike neprimetno kompromitovana, zlonamerna izmena može da se „prošvercuje“ zajedno sa običnim, rutinskim ažuriranjem softvera — onakvim kakvo instalirate jer su vam rekli da je ažuriranje bezbedna stvar.

To je i razlog zbog kog saveti u analizi incidenta nakon upada ponekad zvuče čudno netehničkim čitaocima: kompanija kaže da su joj sistemi kompromitovani preko servera za izgradnju, ukradene developerske akreditacije ili zlonamerne zavisnosti, i to može zvučati apstraktno u poređenju sa „neko je pogodio moju lozinku“. Nije apstraktno. Ishod je isti — vaši podaci ili integritet vaše aplikacije su kompromitovani — samo se do njega došlo kroz vrata za koja niste ni znali da postoje.

Šta zaista pomaže

Ne možete proveravati CI/CD proces svoje banke, a ne bi ni trebalo da morate. Ali nekoliko navika zaista smanjuje vašu izloženost ovoj vrsti rizika:

Ostavite automatska ažuriranja uključena, ali nemojte ažuriranja automatski smatrati pouzdanim. Zakrpe su način na koji popravke, poput ove za TeamCity iznad, stižu do softvera koji koristite — redovno ažuriranje zatvara prozore koje napadači aktivno ispituju. Istovremeno, ažuriranje je dobro onoliko koliko je dobar proces koji ga je proizveo, a upravo je taj proces ovde meta; ne postoji savršena individualna odbrana od zaista otrovanog izdanja iz uzvodnog izvora, zbog čega je ovo suštinski problem odgovornosti proizvođača, a ne vaš problem.

Ako radite sa programerima ili njima upravljate, postoje dve konkretne stvari koje možete proveriti: potvrdite da je svaka ekstenzija za uređivač koda instalirana sa stvarnog verifikovanog naloga izdavača, a ne samo sa naloga koji ima odgovarajući naziv (Open VSX i slična tržišta prikazuju identitet izdavača — proverite ga, ne verujte samo ikoni i naslovu); a ako vaša organizacija lokalno pokreće TeamCity, potvrdite da je danas na verziji 2025.11.7, 2026.1.3 ili da je dodatak sa zakrpom primenjen, a ne tokom sledećeg termina za održavanje — upozorenje CISA znači da se ovo aktivno iskorišćava, a ne da je reč o teorijskoj mogućnosti.

Za sve ostale, korisna promena je samo da budete svesni toga: kada čitate o upadu u neku kompaniju koji vodi do „kompromitovanog alata za programere“ ili „sistema za izgradnju“, to nije usputna tehnička fusnota. To je ista kategorija događaja kao upadi u kojima su procurele lozinke i fišing prevare o kojima ovaj bilten češće piše — samo je počelo jedan sloj uzvodnije, pre nego što je proizvod uopšte stigao do vas.