כל הכתבות של CyberNow בנושא מדריך — 105 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
Sekoia מתארת קמפיין השקיה שהיא מייחסת בביטחון בינוני עד גבוה ל-APT29, ובו שלוש שרשרות ניצול מוכנות שמורכבות כולן מחולשות שהיצרנים כבר תיקנו. אף אחת מהשמונה לא עברה את 8.8, והקציר שהן מחזירות הוא מסדי הנתונים של וואטסאפ וטלגרם, ה-Keychain וסיסמאות ה-Wi-Fi.
ממשק ה-Node-RED על שער תעשייתי של סימנס לא אכף אימות, ומי שהגיע אליו ברשת יכול לשמור תהליך עבודה שמריץ פקודות מערכת. VulnCheck מדווחת על ניצול בפועל מאז 30 באוקטובר, וחלק מהתוקפים לא משאירים נוזקה בכלל.
צוות המחקר של JFrog פרסם ארבע חולשות בשתי פלטפורמות שמריצות קוד שהגיע מלקוח או ממודל שפה. בשלוש מהן התוקף הוא דייר מורשה שיוצא מהקופסה שהוקצתה לו, וברביעית, בציון 10, התיעוד עצמו הבטיח בידוד לקוד לא אמון.
בין 29 ל-31 באוקטובר נרשמו ב-NVD 52 רשומות CVE של PHP Object Injection בתוספים ובתבניות של וורדפרס, 30 מהן בציון 9.8. מה שמפריד בין רשומה קריטית לאתר שאי אפשר לנצל בפועל הוא קוד שלא נמצא בתוסף הפגוע בכלל.
ב-29 באוקטובר נרשמו ב-NVD חמש-עשרה חולשות בשרת העברת הקבצים WS_FTP Server, כולן מפנות לאותה הודעת יצרן אחת. שלוש מתוקנות בגרסה 2024.0.6, ושתים-עשרה האחרות דורשות את 2024.0.7, ובהן אחת בציון 9.9 ושלוש בציון 9.1.
חוקר שטיפל בקריאת תמיכה של Cisco על חומת אש שעולה מחדש בלי הסבר מצא בסופה חולשה שתוקפים כבר השתמשו בה. היא מפילה את שער ה-VPN בלי שום אימות, קיבלה 8.6, ונכנסה לקטלוג ה-KEV יום אחרי הפרסום. זו השנייה מאותו סוג באותו שירות תוך אחד עשר שבועות.
CVE-2026-41709 אינה מאפשרת להיכנס לשום מקום ואינה מאפשרת הרצת קוד, ולכן Broadcom דירגה אותה 2.7 מתוך 10. לפי CrowdStrike, קבוצת WARP PANDA ניצלה אותה כחולשת יום-אפס בפריצות למשרדי עריכת דין בארצות הברית, כדי שהפעולות שלה לא יירשמו ביומן.
עוזר AI מקבל את הבקשה שלכם ואת החומר שהוא קורא באותו צינור, בלי שום סימון שאומר מי כתב מה. מי ששותל הוראה בתוך מייל או דף אינטרנט מנצל בדיוק את זה, והכלי מריץ אותה בהרשאות שאתם נתתם לו.
שתי חולשות הרצת הקוד ב-PHP נכנסו לקטלוג ה-KEV של CISA ב-26 באוקטובר, ובאותו יום סיימה NVD לנתח אותן. צוות PHP דירג את שתיהן 9.2, NVD נתנה 9.8 ו-8.1, וכל ההפרש יושב במטריקה אחת.
Arista מדווחת שחולשת SQL Injection בציון 9.4 ב-VeloCloud Orchestrator מנוצלת בפועל, וכדי להגיע אליה די בחשבון Enterprise Read Only, התפקיד המוגדר מראש הנמוך ביותר במוצר. זו החולשה השלישית באותו מוצר שנכנסת לקטלוג ה-KEV מאז סוף יולי, והראשונה מהשלוש שדורשת בכלל להתחבר.