כל הכתבות של CyberNow בנושא חולשות — 168 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 2 מתוך 17.
חוקרי Zero Day Initiative פרסמו את הניתוח המלא של CVE-2026-35273, החולשה בציון 9.8 ש-ShinyHunters מנצלת מאז מאי. מסתבר שמדובר בשלוש חולשות נפרדות בשני רכיבים, וכולן נשענות על כתובת אחת שרשימת ההיתרים של PeopleSoft מאשרת כברירת מחדל.
חולשה ברכיב CoreGraphics תוקנה בספטמבר במכשירים החדשים. ב-26 באוקטובר יצא iOS 18.7.11, שמביא את אותו תיקון לאייפון XS, XS Max ו-XR ולאייפד מהדור השביעי. אפל אומרת שהחולשה אולי נוצלה בתקיפה מתוחכמת במיוחד נגד אנשים ספציפיים.
שתי התראות שפרסם פרויקט Wasmtime ב-19 באוקטובר מתארות דרכים שונות לחלוטין להוציא קוד מתוך ארגז החול של WebAssembly, ושתיהן יושבות ב-compiler ולא במנוע עצמו. אחת מהן קיימת בכל גרסה שתומכת ב-ARM64 מאז 2020.
חברת האבטחה ההולנדית Sansec עוקבת מאז יולי 2025 אחרי קמפיין ששותל קוד בחנויות Magento, ושמחזיר מטען רק למי שנראה כמו אדם שבא לקנות. מה הוא מגיש בסוף, גם סאנסק עדיין לא יודעת.
דוח Tailworm מתאר שרשרת שמתחילה בהפניית socket ונגמרת במכשיר זר שהצטרף לרשת כצומת לגיטימי. אין CVE, אין גרסה מתוקנת, וחוקרים אחרים חולקים על הקביעה שמדובר בתולעת.
חברת Eye Security רשמה את הדומיין שממנו אפליקציית Popcorn Time חיפשה עדכונים, וגילתה שלושה מיליון מחשבי Windows ו-350 אלף מחשבי Mac שעוד פונים אליו. קובץ העדכון מגיע בחיבור לא מוצפן וללא בדיקת חתימה, ומותקן בהרשאות הגבוהות במערכת.
חולשה במפענח Brotli של גוגל, שארוז בתוך כל גרסה נתמכת של Node.js, מאפשרת כתיבה מחוץ לתחום והרצת קוד מרחוק. Imperva הדגימה אותה על build רשמי יום אחרי שהתיקון יצא, וגוגל נתנה לה ציון 9.2 בזמן ש-Node.js מדרג אותה High.
הניסיון הראשון לנצל את חולשות PHP נרשם ארבעה ימים לפני שהתיקון יצא, ועד אמצע השבוע נותקו אתרי ממשלה בשלוש מדינות. בשבוע בחירות בישראל גל מודעות ההונאה שמתחזות לבנק הגיע עד למנכ"ל לאומי, ובשניים מהמקרים הגדולים של השבוע התוקף היה מסגרת שמריצה סוכני AI.
צוות המודיעין של אמזון מדווח שהניסיונות לנצל את חולשות PHP2Shell התחילו ב-17 באוקטובר, בזמן שהפרטים עליהן היו עוד חסויים. בצרפת, בהולנד ובקנדה נותקו אתרי ממשלה מהרשת, ובפלורידה הושבתו שירותי מידע לבוחרים באמצע ההצבעה המוקדמת.
חוקר ב-FoxIO בדק עשר ספריות HTTP/3 ומצא בשבע מהן את אותה טעות בחשבון: הן מגבילות את מה שהגיע דחוס ברשת, ולא את מה שנשאר בזיכרון אחרי הפריסה. ב-Bun זה נגמר בשרת שלא חוזר לעצמו.