ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
חוקרי Wiz שהריצו מלכודת דבש על תשתיות AI מדווחים שתוקפים משרשרים שתי חולשות: אחת ב-Starlette שמבלבלת את בדיקת ההרשאות, ואחת ב-LiteLLM שמריצה פקודות. כל אחת לבדה נראית בינונית. ביחד הן הרצת קוד בלי שום פרטי אימות.
חוקרי Manifold Security מצאו שסוכני קוד כמו Claude Code, Codex ו-Grok Build מריצים פקודת git באתחול בלי לנקות את הגדרות המאגר, ומאגר עוין יכול להגדיר שם פקודה משלו. ארבעה מהממצאים עדיין לא תוקנו.
חולשה בתוסף הגיבוי הנפוץ All-in-One WP Migration and Backup מאפשרת לתוקף לשתול טקסט באתר דרך מנגנון ציבורי לגמרי, ולחכות. ברגע שמנהל האתר משחזר גיבוי, הטקסט הזה מתחיל להתנהג כפקודה למסד הנתונים ומדליף את המפתח שמאפשר להעלות קוד.
תוקף מהאינטרנט, בלי שם משתמש ובלי סיסמה, מגיע לפונקציות פנימיות במכשיר SMA1000 ומשם מריץ עליו פקודות. SonicWall מאשרת ניצול פעיל, CISA נתנה לגופים הפדרליים עד 5 בספטמבר לתקן, ו-Shadowserver סופר יותר מ-400 מכשירים כאלה גלויים ברשת.
משרד המשפטים האמריקאי הודיע שתפס יותר מ-560 אלף דולר במטבעות קריפטו שיועדו לזרוע הצבאית של חמאס, השתלט על אתרי הגיוס שלה ואסף פרטים על אלפי אנשים שפנו כדי לתרום. באותם אתרים הופיעה הבטחה שההעברה אינה ניתנת למעקב.
חוקרי ThreatFabric חשפו נוזקת אנדרואיד חדשה שהופצה בפרסומות ממומנות בפייסבוק, באינסטגרם ובטיקטוק. מי שהתקין קיבל אפליקציה שמצלמת את המסך, קוראת מה שהוא מקליד ומאפשרת לתוקף להפעיל את הטלפון מרחוק.
בין 4 ל-21 באוגוסט נכנסו תוקפים לחשבונות Dropbox בלי לדעת את הסיסמה ובלי גישה לתיבת המייל. החור לא היה ב-Dropbox עצמה אלא במנגנון שאישר כתובות מייל אצל Lenovo, ו-Dropbox סמכה עליו.
CrowdStrike ורשויות אכיפה בארבע מדינות ניתקו יותר מ-15 אלף מחשבים מרשת עמית-לעמית שפעלה מ-2003. הם לא תקפו שרת מרכזי, כי כזה לא היה, אלא את רשימת השכנים שכל מחשב נגוע מתחזק בעצמו.
מלכודות דבש שהוצבו במאי קלטו ב-30 באוגוסט ניסיון ניצול תקף נגד Switchvox של Sangoma, שישה שבועות אחרי שהטלאי כבר היה זמין. החולשה בציון 9.3 היא SQL Injection ללא אימות, אבל השאילתה רצה בהרשאות superuser של PostgreSQL, וזה מה שהופך אותה להרצת קוד על השרת.
חוקרי Forescout נתנו ל-Claude קושחה, טרמינל ובקר WAGO אמיתי, וביקשו להתאים exploit קיים לדגם אחר של אותו יצרן. זה הצליח, אחרי שמונה שעות וחצי של הכוונה אנושית צמודה, ובניסיון להרחיב את זה לשתל קבוע המודל כתב לזיכרון הפלאש והשבית את הבקר לצמיתות.