ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
חוקרי depthfirst פרסמו ניתוח מלא של CVE-2026-80521, חולשה במנגנון ניקוי הזיכרון של AF_UNIX שמאפשרת לתהליך בתוך container להגיע לקרנל של המכונה המארחת. הקרנל תוקן ב-6 באוגוסט, וחבילות הקרנל של אובונטו 24.04 ו-26.04 עדיין מסומנות אצל Canonical כלא מתוקנות.
GreyNoise תיעדה ניצול בפועל של חולשה בת שלושה חודשים במתגי Zyxel GS1900, ומצאה שהתוקף חילץ תצורות ופרטי אימות מ-996 מתגים בעשרות מדינות. ציון ה-CVSS של החולשה, 8.8, בנוי על ההנחה שממשק הניהול של המתג נגיש רק מהרשת המקומית.
Vercel פרסמה עדכון אבטחה מחוץ למחזור ל-Next.js אחרי שהתברר שטקסט שמגיע מכתובת הבקשה עלול להיקרא כקוד SVG, ומשם להוביל להרצת קוד על השרת. הגרסאות 16.2.0 עד 16.3.5 חשופות, ושלושת המקומות שבהם מפתח היה מחפש התראה על כך עדיין שותקים.
שירות בתשלום שמכר גישה לחשבונות מיקרוסופט בלי לגנוב אף סיסמה הושבת, ושני חשודים נעצרו בבריטניה. מה שהפך אותו למסוכן במיוחד היה מה שקרה אחרי הפריצה.
צ'ק פוינט פרסמה תיקון לחולשה בשרתי הניהול שלה שכבר נוצלה בתקיפות ביולי, ובאותה הודעה אישרה שגם חולשת ה-VPN מתחילת החודש מותקפת עכשיו, דווקא אצל לקוחות עסקים קטנים.
Malwarebytes מיפתה רשת של יותר ממאה אתרים שמוכרים מנויים לכלי בינה מלאכותית שאינם קיימים. כולם נבנו מערכת אתרים מסחרית אחת ב-249 דולר, וכפתור ההתחברות של גוגל בהם עובד באמת.
חוקר האבטחה פטריק וורדל מצא הגדרה לא מתועדת באפליקציית Muse למק, שכל תוכנה במחשב יכולה לשנות כדי לקרוא את מה שהמשתמש מכתיב ולהזריק לסוכן הוראות משלה. מטא לא פרסמה הודעת אבטחה.
חוקרי Blackpoint Cyber ניתחו נוזקת שליטה מרחוק חדשה שמגיעה דרך ClickFix, רצה על Node.js משלה, ושולפת את כתובת שרת השליטה מחוזה חכם ברשת Polygon. תוך כדי המחקר הם ראו את התשתית מתחלפת בזמן אמת.
תוקף שעונה לחיבור TLS 1.3 של לקוח Erlang/OTP יכול לצרף לתשובה שלו הרחבה שהלקוח מעולם לא ביקש, והלקוח מדלג על כל בדיקות התעודה: אימות השרשרת, שם המתחם, CRL ו-OCSP. החולשה CVE-2026-89422 בציון 9.3 קיימת מ-OTP 22.2, ושלוש חבילות תיקון יצאו ב-22 בספטמבר 2026.
קבוצת תקיפה סינית שלישית נתפסה מריצה את אותה שרשרת ניצול לשלוש חולשות שלא היה להן תיקון, והפעם דרך אתרים שטוענים את התוכן האמיתי של הגופים שהם מחקים. בסוף השרשרת נוזקה שלא תועדה קודם, שמתחזה לרכיב של מנגנון הקלט בווינדוס.