כל הכתבות של CyberNow בנושא חולשות — 168 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
גוגל פרסמה את עדכון האבטחה של אנדרואיד לנובמבר 2026, ובו 216 חולשות ש-23 מהן בדרגה קריטית. אחת מהן מאפשרת לפי גוגל הרצת קוד מרחוק על מכשירים עם אנדרואיד 14 עד 17, בלי שום פעולה מצד המשתמש.
ב-1 בנובמבר קיבל צוות BTCPay Server, תוכנה שבעלי חנויות מתקינים על שרת משלהם כדי לקבל תשלומים בקריפטו, דיווחים ראשונים על גניבות מארנקים שהוחזקו על אותם שרתים. החקירה מצביעה על גרסה 2.4.1 וקודמות, והצוות אומר שעדכון לבד לא מספיק.
בלילה שבין ראשון לשני שינו תוקפים את הגדרות הקירור ביותר מ-115 חנויות מזון בבלגיה, הולנד, שוודיה, לוקסמבורג, אירלנד ואסטוניה. ספק מערכות הקירור אומר שמדובר באותה חולשה שנוצלה בצרפת לפני שלושה שבועות.
הודעת SMS אחת שהטלפון מעבד בעצמו ולא מציג מפילה את הרכיב שמנהל את כל הטלפוניה באנדרואיד. גוגל תיקנה באוקטובר, אבל רק מגרסה 14 ומעלה.
חוקרי Parameter הראו איך שיחה ציבורית אחת ב-ChatGPT מריצה JavaScript של התוקף בתוך ה-session המחובר של מי שפתח את הקישור, ושולפת משם שיחות שמעולם לא שותפו. שתי תכונות תמימות, גרף ובלוק HTML, בנו יחד את הגשר מעל הבידוד.
בשליטה מרחוק הצד שמסתכן הוא בדרך כלל מי שפותח את המחשב שלו. חולשה שתוקנה בגרסה 15.83 הופכת את הכיוון: מחשב נשלט זדוני יכול להפיל את התוכנה אצל מי שהתחבר אליו, ובחלק מהמקרים גם להריץ אצלו קוד.
בכל פעם שוורדפרס מעדכן את עצמו הוא מניח לכמה שניות עותק שלם של עצמו בתיקייה שהדפדפן יכול להגיע אליה. התיקון יצא ב-28 באוקטובר, ולפי Wordfence התוקפים התחילו לדפוק על הנתיב הזה מיד.
חולשת use-after-free בקוד ה-IPv4 של לינוקס, שנכנסה לקרנל ב-2016 וקיבלה ציון 9.8, מאפשרת לתוקף מרוחק לגרום לקרנל לקרוא זיכרון ששוחרר, דרך לחיצת יד רגילה לגמרי. Anthropic מדווחת שמודל Claude כתב ניצול שמגיע מזה להרצת קוד כ-root, ושלושה שבועות אחרי פרסום ה-CVE אובונטו ו-Red Hat עדיין בלי תיקון.
חברת NebuSec פרסמה שחולשה בטלגרם לאנדרואיד איפשרה הרצת קוד על הטלפון מהרגע שהקורבן עונה לשיחה. בקוד המקור שטלגרם מפרסמת אפשר לקרוא את הטעות עצמה: הקוד מאמת שדה אחד בהודעת הסטטוס של השיחה וקורא את הערך משדה אחר, שלפעמים לא הגיע בכלל.
TianoCore פרסמה התראה על CVE-2026-97631, חולשה בציון 9.5 בדרייבר ה-PXE של edk2 שמאפשרת לכתוב מעבר לשדה של 504 בתים בזמן אתחול מהרשת. התיקון מוזג ל-master ב-15 באוקטובר, אבל אף גרסה יציבה עוד לא מכילה אותו, והוא היה פומבי בבקשת מיזוג ב-GitHub שלושה שבועות לפני שההתראה פורסמה.