כל הכתבות של CyberNow בנושא אבטחת אתרים — 39 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
OPSSHIELD מדווחת שתוקף נרשם אצלה כלקוח, התקין גרסת ניסיון כדי ללמוד את מערכת הרישוי, והגיע דרך פורטל החיוב למפתח שמעלה עדכונים. העדכון המזויף הופץ כשבעים דקות ואסף גיבובי סיסמאות ומפתחות SSH של root.
בין 29 ל-31 באוקטובר נרשמו ב-NVD 52 רשומות CVE של PHP Object Injection בתוספים ובתבניות של וורדפרס, 30 מהן בציון 9.8. מה שמפריד בין רשומה קריטית לאתר שאי אפשר לנצל בפועל הוא קוד שלא נמצא בתוסף הפגוע בכלל.
בכל פעם שוורדפרס מעדכן את עצמו הוא מניח לכמה שניות עותק שלם של עצמו בתיקייה שהדפדפן יכול להגיע אליה. התיקון יצא ב-28 באוקטובר, ולפי Wordfence התוקפים התחילו לדפוק על הנתיב הזה מיד.
חברת האבטחה ההולנדית Sansec עוקבת מאז יולי 2025 אחרי קמפיין ששותל קוד בחנויות Magento, ושמחזיר מטען רק למי שנראה כמו אדם שבא לקנות. מה הוא מגיש בסוף, גם סאנסק עדיין לא יודעת.
צוות המודיעין של אמזון מדווח שהניסיונות לנצל את חולשות PHP2Shell התחילו ב-17 באוקטובר, בזמן שהפרטים עליהן היו עוד חסויים. בצרפת, בהולנד ובקנדה נותקו אתרי ממשלה מהרשת, ובפלורידה הושבתו שירותי מידע לבוחרים באמצע ההצבעה המוקדמת.
GitLab שחררה ב-21 באוקטובר תיקון לחולשה שמאפשרת לתוקף שאינו מחובר להריץ קוד על שרת שארגון מריץ בעצמו. הציון הוא 10.0, המקסימום, ומי שעדכן תשעה ימים קודם לכן עדיין צריך לעדכן שוב.
PHP הוציאה עדכון חירום לארבעת הענפים הנתמכים בעקבות שתי חולשות הרצת קוד בציון 9.2. התוקף לא צריך להתחבר ולא צריך חולשה באפליקציה, ובמקרה שאומת מול mod_php הוא בכלל לא מגיע לקוד שלה.
חוקר נורווגי מצא יותר מ-20 לוחות בקרה של מערכות פריצה מבוססות סוכני AI שהמפעילים השאירו פתוחים לאינטרנט בלי סיסמה, וקרא את עבודתם בזמן אמת. פריצה מוצלחת ארכה בממוצע פחות מ-23 שעות ועלתה, לפי אומדן גס, כ-50 דולר.
מי שהוריד או עדכן את תוספת ה-SEO Rank Math PRO בחלון של אחת עשרה שעות בין 15 ל-16 באוקטובר קיבל קבצים עם נוזקה. מספר הגרסה לא מבדיל בין עותק נקי לנגוע, ועדכון לגרסה המתוקנת לא מנקה את מה שכבר הושאר על השרת.
מוצר שתפקידו לחסום תקיפות על אתרים מכיל חולשה שמאפשרת למי שהשיג דריסת רגל קטנה בשרת להריץ פקודות בהרשאות הגבוהות ביותר. ה-CERT היפני פרסם התרעה דחופה, והיצרן מאשר שהחולשה כבר נוצלה.