ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
מפתחות הגישה של אפליקציה חיצונית בשם Ribon נגנבו, ובארבעה ימים נשתל דרכה קוד באתרי חנויות ונשלפו פרטי קונים. BigCommerce מדברת על מספר קטן של חנויות, וחנות אחת שנפגעה מעריכה שההיקף גדול בהרבה.
רשות הגנת המידע האירית קבעה שגוגל לא הסבירה מספיק מה היא עושה עם נתוני המיקום, ושמרה אותם זמן ארוך מהנדרש. הקנס אירופי, ההגדרות שבמוקד זהות לחלוטין בכל חשבון Google ובכל טלפון אנדרואיד שנמכר בישראל.
נוזקה שנמצאה במחשב אחד אוספת מסמכים, סיסמאות Wi-Fi וצילומי מסך, ומשאירה לעצמה חמש אחיזות נפרדות במערכת. Securonix מודה שהיא לא יודעת כמה ארגונים נפגעו.
מיקרוסופט מפסיקה לספק קודי SMS ושיחות אימות בחשבונות Microsoft 365 של ארגונים, ומעבירה את המשתמשים ל-passkey. הסיבה שהיא נותנת רלוונטית גם למי שאין לו חשבון עבודה.
Unit 42 דחפה מפתח גישה למאגר ציבורי ומדדה מה קורה. המדיניות שאמזון מצרפת אוטומטית לא מבטלת את המפתח שדלף, היא רק אוסרת 100 פעולות מתוך אלפים, והרשימה שלה היא מפה מדויקת של איך השתנו המתקפות על הענן מאז 2020.
אחרי שהתחברתם לחשבון, מה ששומר אתכם בפנים זו לא הסיסמה אלא חיבור פתוח ששמור אצלכם במכשיר. מי שמעתיק אותו נכנס בלי סיסמה ובלי קוד אימות.
כספת פרטי האימות של AgentCore מצפינה הכול במנוחה ובתנועה. החוקר ניב רבין הראה שכלי shell שמגיע דלוק כברירת מחדל קורא את אותם פרטי אימות בטקסט גלוי מתוך ה-heap של סביבת ההרצה, ושאפשר להשתמש בהם אחר כך מכל מחשב בעולם.
חוקר האבטחה אורן יום טוב מצא שתי דרכים לצאת מהמנגנון שאמור לכלוא את סוכן הקוד של OpenAI בתוך תיקיית העבודה, אחת מהן עובדת גם במצב הנעול ביותר שבו הסוכן אמור רק לקרוא קבצים. OpenAI תיקנה את שתיהן תוך שמונה ימים.
חוקרים מחברת pwn.ai הראו שקישור בנוי בקפידה גורם לוורדפרס להתקין ערכת עיצוב מהמאגר הרשמי בלי שמנהל האתר אישר דבר, ובשרשור עם ערכה שיש בה חולשה משלה גם להריץ קוד על השרת. התיקון יצא ב-17 בספטמבר, יחד עם עוד עשר חולשות.
חודשיים הזהיר Windows משתמשים שהאנטי-וירוס שלהם כבוי בזמן שהוא פעל. מיקרוסופט הוציאה תיקון, והשאלה המעניינת היא מה קורה להרגלים של מי שלמד להתעלם מהחלון האדום.