ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
חוקרי Elastic חשפו קמפיין שמיוחס לתוקפים מצפון קוריאה, שבו מועמדים למשרות בהייטק מתבקשים להריץ פרויקט קוד כחלק ממבחן קבלה. הפרויקט עובד כרגיל, ובמקביל גונב סיסמאות, ארנקי קריפטו וקבצים מהמחשב.
תוכנת הכיווץ החינמית שמותקנת על מיליוני מחשבים תוקנה בגרסה 26.02, אחרי שהתגלתה בה חולשה שמאפשרת לתוקף להריץ קוד על המחשב ברגע שפותחים קובץ שהוא הכין. 7-Zip לא מתעדכנת לבד, ולכן העדכון תלוי בכם.
בית משפט בלונדון גזר מאסר על שני צעירים שחדרו לרשת של רשות התחבורה העירונית. הם לא ניצלו שום חולשה טכנית, אלא התקשרו למוקד התמיכה והתחזו לעובד.
התובעים הכלליים של 42 מדינות בארצות הברית סגרו פשרה עם חברת הבדיקות הגנטיות, אחרי שתוקפים נכנסו לחשבונות לקוחות בלי לפרוץ שום דבר. הם פשוט ניסו סיסמאות שדלפו מאתרים אחרים.
חוקרי מיקרוסופט מיפו שתי קמפיינים נפרדים של נוזקת גניבת מידע בשם ACR Stealer, ששולפת את פקודות הפיקוד שלה מחוזה חכם על בלוקצ'יין ציבורי ומחביאה מטען זדוני בתוך פיקסלים של תמונת JPEG.
מאחורי הכינוי הפשוט wp2shell מסתתר שרשור מדויק של שני חורים בליבת וורדפרס עצמה: בלבול שקט בנתב ה-REST ו-SQL Injection ותיקה. יחד הם הופכים בקשת HTTP אנונימית אחת להרצת קוד מלאה על השרת.
ענקית הייעוץ EY מודיעה ללקוחות על דליפת מידע שמקורה במערכת קריאות שירות של ספק חיצוני. המקרה מדגים סיכון שקשה להתגונן ממנו: המידע שלכם נמצא גם אצל מי שלא בחרתם.
חברת הבת Fairlife של קוקה קולה השביתה את הייצור בארצות הברית אחרי מתקפת כופרה. המקרה ממחיש איך אירוע סייבר עובר מהמסך אל המדף בסופר.
וורדפרס שחררה עדכון חירום שסוגר חולשה שמאפשרת לתוקף אנונימי להריץ קוד על אתר רגיל לגמרי, בלי תוספים ובלי חשבון. קוד ההדגמה כבר פורסם לציבור.
חולשת הזרקת פקודות ב-FortiSandbox של פורטינט מאפשרת לתוקף לא מזוהה להריץ קוד בהרשאות root, ונכנסה לרשימת החולשות המנוצלות בפועל של CISA. סקירה של החולשה, ציר הזמן, מנגנון הניצול, מה הציון 9.8 אומר בפועל, ואיפה למצוא קוד הדגמה.