ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
אלבניזי דיווח על גישה בלתי מורשית לקבצים לא ציבוריים. חוקרים שקראו את הקוד הארכיוני של הפורטל מצאו שורה שמפנה כל מבקר לכתובת גישה בלי הזדהות, ומחברת אותו בלי סיסמה.
וורדפרס מצרף חתימה חד-פעמית לכל בקשה שמשנה משהו באתר, ו-Elementor דילגה עליה כשהכתובת הכילה מסלול מסוים. התוקף פשוט הדביק את המסלול הזה לכל כתובת אחרת.
ההודעה לא כללה מספר CVE, תיקון חדש או פרטים טכניים, רק בקשה להשבית את מערכת העברת הקבצים בחלון של שש שעות בשבת. החברה נקראה בעבר Accellion, ומי שזוכר את גל הדליפות שבא אחרי הפריצה למוצר שלה מבין למה היא לא מהמרת.
אסוס הודיעה ללקוחות שגורם לא מורשה נכנס לחלק מהחנות המקוונת שלה וייתכן שנחשפו פרטי קשר ורשומות הזמנות. פרטי אשראי לא דלפו, אבל מה שכן דלף מספיק כדי לנסח הודעה שיודעת בדיוק מה קניתם ומתי.
בורסת הקריפטו Bitget מדווחת שתוקפים השתלטו על מערכת פנימית שמנהלת את הארנקים שלה, הזינו לתוכה נתוני העברה מזויפים והוציאו נכסים בשווי 351.6 מיליון דולר. המשיכות של הלקוחות מושבתות בינתיים.
חוקר ב-Accomplish גילה ששרתי ה-Containers של Cloudflare מסרו בלוקים של דיסק ממכולה שנמחקה למכולה הבאה בלי לנקות אותם. בבלוקים נמצאו מבני ספריות, דפי מסד נתונים וקבצי SQLite שלמים של לקוחות אחרים, על 20 מתוך 22 שרתים בארבע יבשות.
חולשה בליבת וורדפרס מאפשרת לתוקף בלי חשבון לגרום לאתר לטעון קובץ PHP מקומי שהוא בחר. הציון 8.1 אומר שהתקיפה מורכבת, וזה נכון, אבל תוך יממה היה לה template מוכן של Nuclei.
CERT Polska פרסמה את הניתוח המלא של MikroTrick, שרשרת של שתי חולשות בשרת ה-SSH של RouterOS שנותנת גישה מלאה לקונסולת הניהול בלי סיסמה ובלי מפתח. הלוגים הציבוריים הראשונים מתוארכים ליום לפני שהטלאי יצא, והניתוח הפומבי הראשון שלו פורסם פחות מיממה אחריו.
צ'ק פוינט אישרה שחולשות בשרתי הניהול שלה מנוצלות בתקיפות, ובאותו שבוע סוכני AI הופיעו גם כתוקפים וגם כקורבנות. כל מה שקרה בין 18 ל-25 בספטמבר, ומה כדאי לעשות עכשיו.
רסמוס מורטס שרשר שתי חולשות בתוכנה של OnePlus והגיע להרשאות root ב-OnePlus 15 עם הגרסה העדכנית של OxygenOS. החברה אישרה אותן במאי, ביקשה שלא יפרסם, ועד היום לא הוציאה תיקון או מספר CVE.