Bartek Chojnacki

W AWS API MCP Server (wersje 0.2.13-1.5.0) znaleziono lukę CVE-2026-125271, która pozwala obejść politykę bezpieczeństwa dzięki nieprawidłowej normalizacji nazw operacji. Atakujący może wykonać operacje AWS, które powinny być zablokowane lub wymagać potwierdzenia – wymaga to aktualizacji do wersji 1.5.1 lub nowszej.

AWS udostępnił InvokeWebSearch API, który pozwala wyszukiwać sieć za pomocą pojedynczego call'a bez konieczności zarządzania zasobami. API zwraca rankingowane wyniki z indeksu Amazon, z możliwością filtrowania po domenie i dacie publikacji, a kosztuje 7 dolarów za 1000 zapytań.

Amazon CloudWatch alarms z PromQL mogą już triggerować skalowanie EC2 i Application Auto Scaling – zarówno simple jak i step policies. Fajnie, że teraz możesz skalować capacity na tych samych metrykach OpenTelemetry, które monitorujesz na dashboardach, bez utrzymywania osobnych classic metric alarmów.

Amazon Braket SDK ma dwie podatności (CVE-2026-124034 i CVE-2026-124035) dotyczące pobierania danych hybrydowych jobów oraz walidacji schematów błędów. Jeśli używasz wersji amazon-braket-sdk od 1.10.0 do 1.127.6 lub amazon-braket-schemas od 1.17.0 do 1.32.1, musisz zaktualizować biblioteki do najnowszych wersji.

AWS ParallelCluster CLI w wersjach 3.0.0–3.15.x ma podatność na path traversal w komendach export-cluster-logs i export-image-logs. Zagrożony użytkownik z dostępem do S3 bucket'a mógłby zapisać pliki poza docelowy katalog – trzeba pilnie zaktualizować do wersji 3.16.0 lub nowszej.

Amazon CloudWatch Logs wprowadza możliwość ustawienia polityk retencji danych na poziomie całego konta AWS, co pozwala zarządzać przechowywaniem logów dla wszystkich lub wybranych grup logów za jednym zamachem. Nowa funkcja dostępna jest we wszystkich komercyjnych regionach AWS (poza Bahrajnem i ZEA) i umożliwia tworzenie do 20 polityk na konto, z obsługą prefiksów nazw i elastycznym wyborem zastosowania do istniejących lub nowych grup logów.

AWS ujawnił dwie podatności w warstwie protokołu TDS Babelfish dla Aurora PostgreSQL. CVE-2026-119923 pozwala niezalogowanemu atakującemu wpłynąć na proces bazy danych, a CVE-2026-119924 umożliwia zalogowanemu użytkownikowi odczyt pamięci lub DoS – oba wymagają pilnej aktualizacji.

AWS Systems Manager (SSM) Trusted Remote Execution ma lukę w przykładowych skryptach z dokumentacji setup'u – przez command injection można wykonać niechciane komendy systemowe na zarządzanych instancjach. Jeśli używasz REX z dokumentami Rex-RO lub Rex-RW wygenerowanymi ze starych przykładów, warto sprawdzić dokumentację AWS i zaktualizować konfigurację.

Moonshot AI udostępnił swój model Kimi K3.1 Pro na platformie Amazon Bedrock, co oznacza, że możesz teraz uruchamiać zaawansowane agentyczne use case'i jak coding czy document processing ze sporą szybkością (wysokie OTPS). Model ma 1 milion tokenów kontekstu, wspiera prompt caching do redukcji opóźnień i jest dostępny we wszystkich regionach AWS gdzie działa Bedrock.