ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
מפעל טיהור מים אחד ירד מהרשת ותושבים התבקשו לצמצם בצריכה, אחרי מתקפת סייבר שפגעה בו-זמנית בעשרות ספקי מים. הטכניקות מזכירות קבוצה איראנית שכבר תקפה מתקני מים בישראל.
חולשה בקונסולת הניהול של צ'ק פוינט מאפשרת לתוקף מהרשת להשיג שליטה מלאה על מערכת האבטחה של ארגון, בלי שם משתמש ובלי סיסמה. החברה אישרה שהיא מנוצלת במתקפות אמיתיות, וקוד לניצולה כבר פורסם.
חוקרים הדגימו איך עצם הביקור בעמוד מלכודת מאפשר לתוקף להריץ קוד על המכשיר, בלי שום לחיצה. מוזילה תיקנה את החולשה, שנוגעת גם ל-Firefox לאנדרואיד ולדפדפן Tor.
שתי חולשות שמשורשרות יחד מאפשרות השתלטות מלאה על אתר וורדפרס בלי סיסמה. קוד תקיפה כבר פורסם, ותוקפים מנצלים אותו בשטח. התיקון קיים, ומי שלא מעדכן נשאר חשוף.
מסגרת סינית לבניית נוזקות אנדרואיד, שנשלטת מפאנל אחד ומחקה אפליקציות ממשלתיות ואפליקציות תשלום, דלפה בתחילת 2026. חוקרי Hunt.io מצאו אותה רצה על 170 שרתים, וגרסת המשך כבר בשוק.
חולשת CVE-2025-68686 ב-FortiOS קיבלה ציון בינוני של 5.9, אבל CISA כבר סימנה אותה כמנוצלת בפועל. תוקפים עקפו בעזרת לוכסן כפול את התיקון שאמור היה לחסום את שיטת השרידות שלהם ב-FortiGate.
שתי גרסאות בטא של חבילת @joyfill עלו ל-npm עם נוזקת שליטה מרחוק שמופעלת ברגע ה-import, לא בהתקנה. את כתובת השרת הבא היא שולפת מעסקאות שמורות על שלושה בלוקצ'יינים, כדי לשרוד הורדות של תשתית.
חוקרים מצאו חולשה קריטית בתוכנת הראוטרים OpenWrt שמאפשרת לתוקף שמחובר לרשת להשתלט על הראוטר לגמרי. זו תזכורת טובה שהקופסה שמחלקת לכם אינטרנט היא מחשב, וכמעט אף אחד לא מעדכן אותה.
עמוד התחברות מזויף שיושב באמצע ומעביר את ההתחברות שלכם למיקרוסופט בזמן אמת מצליח לחטוף את החשבון גם כשאישרתם קוד דו-שלבי. שירות אחד גדול שעשה בדיוק את זה נסגר השבוע, אבל הטכניקה נשארת.
מייל טוען שמסמך גדול מדי ולכן שותף דרך Teams. הקישור מוביל לעמוד שמחקה את חנות מיקרוסופט ומבקש "לעדכן" את Teams, ומי שמתקין מוסר לתוקף שליטה מלאה על המחשב.