ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
PHP הוציאה עדכון חירום לארבעת הענפים הנתמכים בעקבות שתי חולשות הרצת קוד בציון 9.2. התוקף לא צריך להתחבר ולא צריך חולשה באפליקציה, ובמקרה שאומת מול mod_php הוא בכלל לא מגיע לקוד שלה.
ההתראה המשותפת מ-20 באוקטובר 2026 מונה חמש חולשות שקבוצת הכופרה SafePay מנצלת, וכולן קיבלו תיקון בין 2020 ל-2024. הנמוכה שבהן בציון, 7.5 ב-Veeam Backup & Replication, היא גם זו שמובילה ישר אל תשתית הגיבוי.
Fortinet פרסמה ב-13 באוקטובר הודעה בת שורה אחת על כתיבת קובץ שרירותית ב-FortiSIEM 7.5.0. שבוע אחריה פרסמה Horizon3 את הניתוח המלא: שירות gRPC שמאזין בלי אימות, יציאה מהתיקייה המותרת, ובייט אפס שמאפשר לדרוס סקריפט שה-cron מריץ כל דקה.
ב-17 באוקטובר שלח חוקר לצוותי כרום ופיירפוקס הודעה שחתם שמונה פעמים, בשמונה מפתחות פרטיים של חברה שמנפיקה תעודות אבטחה לאתרים. כרום חסם תוך שעה ו-40 דקות, ולפי צוות השורשים שלו אף תעודה לאתר לא הונפקה בהם לפני החסימה.
מעבדת Citizen Lab פרסמה ב-19 באוקטובר שמצאה ברמת ודאות גבוהה את Pegasus, תוכנת המעקב של NSO הישראלית, על האייפון של רקטור אוניברסיטת בלגרד. ההדבקה לא דרשה ממנו שום פעולה, והמעבדה לא אמרה מי הפעיל אותה.
חברת Redact מצאה 102 בלוקים של טקסט מוסתר ב-80 מעמודי העזרה של וואטסאפ, שנכתבו בשביל צ'אטבוט התמיכה ולא בשביל מי שקורא את העמוד. שניים מהם הורו לו לא להציע לפנות לרגולטור פרטיות, ולא לצטט חוקי הגנת מידע ברגע שהמשתמש הזכיר עורך דין.
חוקר נורווגי מצא יותר מ-20 לוחות בקרה של מערכות פריצה מבוססות סוכני AI שהמפעילים השאירו פתוחים לאינטרנט בלי סיסמה, וקרא את עבודתם בזמן אמת. פריצה מוצלחת ארכה בממוצע פחות מ-23 שעות ועלתה, לפי אומדן גס, כ-50 דולר.
מי שהוריד או עדכן את תוספת ה-SEO Rank Math PRO בחלון של אחת עשרה שעות בין 15 ל-16 באוקטובר קיבל קבצים עם נוזקה. מספר הגרסה לא מבדיל בין עותק נקי לנגוע, ועדכון לגרסה המתוקנת לא מנקה את מה שכבר הושאר על השרת.
סימנטק פרסמה ניתוח של פריצה שנמשכה לפחות חודשיים במפעל לבניית ספינות באחת ממדינות נאט"ו, שבה הדלת האחורית Hookedge קיבלה פקודות דרך חלון Edge מוסתר ושירות webhook ציבורי. התוקפים חילצו פרטי אימות בשתי שיטות, פתחו מנהרת SSH אל הרשת הפנימית, והשאירו אחריהם loader שהמטען שלו לא שוחזר.
בשש פלטפורמות להרצת סוכני AI התגלה אותו כשל: הגדרת ברירת המחדל שהפרויקט מפיץ משאירה את ה-API בלי אימות, והכלי שמריץ פקודות רשום ומחכה מעבר לו. המחקר הוא של Lasso Security מתל אביב, ולרוב הרשומות אין בכלל גרסה מתוקנת.