ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
יוביקוויטי תיקנה שלוש חולשות שקיבלו 10 מתוך 10, אחת מהן במערכת שמנהלת את מצלמות האבטחה ומאפשרת השתלטות מרחוק בלי שום חשבון. חברת Censys סופרת יותר מ-100 אלף מערכות UniFi שנגישות מהרשת הפתוחה.
חוקר גילה שאפשר לבקש משרת קלטורה קובץ הגדרות פנימי ולקבל בחזרה את סיסמאות מסד הנתונים בטקסט גלוי, ומשם להגיע להרצת קוד. CERT/CC פרסם את הפרטים אחרי שלא הצליח להשיג את החברה הישראלית.
שרשרת של שש בעיות בתבנית Avada ובתוסף Fusion Builder אפשרה לתוקף בלי חשבון ובלי סיסמה לשתול קובץ PHP בשרת של האתר ולהריץ אותו. התיקון פורסם אתמול, ומיליון אתרים ומעלה צריכים אותו.
חוקרי Island תיארו היום שירות בשם NovaCookies, שנמכר במנוי חודשי ומספק לתוקפים דבר אחד: החיבור הפעיל לחשבון Microsoft 365 של הקורבן. הפיתיון נשען על התראות אמיתיות של Docusign, וישראל מופיעה ברשימת המדינות שאליהן כוונו הקמפיינים.
באתר של International Burke Institute יש לוגו, רשימת מומחים עם שמות מוכרים ומדד שמדרג מדינות. OpenAI בדקה מדגם של 36 מאמרים שפורסמו שם ומצאה ש-34 מהם הועתקו מאתרים אחרים, וחסמה קבוצת חשבונות ChatGPT שפעלה מרוסיה וקידמה את המכון.
מערך הסייבר הלאומי פרסם היום הסבר על שעונים חכמים, צמידי כושר והתקני בית חכם שמשדרים סביבם אות זיהוי בבלוטות'. כשהמנגנון שאמור להחליף את המזהה הזה כל כמה דקות לא עובד כמו שצריך, מי שנמצא בקרבת מקום יכול לזהות את אותו מכשיר שוב ושוב.
חוקר נוזקות גרמני פירסם ניתוח של קובץ שנשתל לצד סוכן הניהול של ESET, לא פותח פורט, לא פונה לשום שרת ולא נושא מטען. הוא רק מאזין לכל חבילה שחולפת ברשת, עד שתגיע אחת שמצפינה בתוכה תוכנית קצרה בשפת פקודות שהומצאה עבורו.
וידאו וקול שנוצרו במחשב כדי להישמע ולהיראות בדיוק כמו אדם מסוים. איך זה עובד, איפה פוגשים את זה בשיחה שנכנסת לטלפון, ומה עוזר כשהחושים כבר לא מספיקים.
CISA הכניסה אתמול את CVE-2026-60004 לרשימת החולשות שמנוצלות בשטח, עם דדליין תיקון ל-28 באוגוסט. מפתח שתיעד את המקרה אצלו מצא בלוגים 11 שניות בין הרשמת המשתמש הזר לבין ההוכחה שהקוד רץ, והתצורה שאיפשרה את זה היא ברירת המחדל.
מתקפת הצפה על התשתית שמריצה את ההתחברות לשירותי המדינה בנורווגיה השביתה את רשות המסים, שירות התעסוקה ופורטל הבריאות. הרשות מדגישה שלא הייתה חדירה ולא דלף מידע, וזה בדיוק ההבדל שכדאי להכיר.