כל הכתבות של CyberNow בנושא מדריך — 105 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 5 מתוך 11.
חולשה בליבת וורדפרס מאפשרת לתוקף בלי חשבון לגרום לאתר לטעון קובץ PHP מקומי שהוא בחר. הציון 8.1 אומר שהתקיפה מורכבת, וזה נכון, אבל תוך יממה היה לה template מוכן של Nuclei.
F5 איתרה בעצמה חולשה ב-BIG-IP APM ואז מסרה שתוקפים כבר מנצלים אותה. CISA נתנה שלושה ימים לטפל, אבל השורה הראשונה בהוראה שלה אינה התקינו את התיקון.
GreyNoise תיעדה ניצול בפועל של חולשה בת שלושה חודשים במתגי Zyxel GS1900, ומצאה שהתוקף חילץ תצורות ופרטי אימות מ-996 מתגים בעשרות מדינות. ציון ה-CVSS של החולשה, 8.8, בנוי על ההנחה שממשק הניהול של המתג נגיש רק מהרשת המקומית.
תוקף שעונה לחיבור TLS 1.3 של לקוח Erlang/OTP יכול לצרף לתשובה שלו הרחבה שהלקוח מעולם לא ביקש, והלקוח מדלג על כל בדיקות התעודה: אימות השרשרת, שם המתחם, CRL ו-OCSP. החולשה CVE-2026-89422 בציון 9.3 קיימת מ-OTP 22.2, ושלוש חבילות תיקון יצאו ב-22 בספטמבר 2026.
אחרי שהתחברתם לחשבון, מה ששומר אתכם בפנים זו לא הסיסמה אלא חיבור פתוח ששמור אצלכם במכשיר. מי שמעתיק אותו נכנס בלי סיסמה ובלי קוד אימות.
ב-17 וב-18 בספטמבר פרסמה NVD 34 רשומות CVE נגד vm2, הספרייה שמריצה קוד JavaScript לא מהימן בתוך תהליך Node.js. שתים עשרה מהן קיבלו את הציון המרבי, אבל הגרסאות שסוגרות אותן עלו ל-npm עוד בתחילת החודש.
ב-18 בספטמבר הוסיפה CISA שלוש חולשות בגרעין לינוקס לקטלוג החולשות המנוצלות בפועל, וקבעה לגופים הפדרליים שלושה ימים לסגור אותן. שתיים מהן תוקנו עוד ב-2025, ולאחת מהן שלושה ציוני CVSS שונים משלושה גופים.
השורה שמופיעה בראש כל צ'אט בוואטסאפ מבטיחה פחות ממה שנדמה. היא נועלת את ההודעה לאורך כל הדרך, אבל את מי שכבר יושב באחד הקצוות היא לא מזהה בכלל.
Google תיקנה חולשה במודם הסלולרי של Pixel וציינה שיש אינדיקציות לניצול מוגבל וממוקד. יום אחריה צירפה CISA את החולשה לקטלוג המנוצלות עם מועד יעד של שלושה ימים. הציון 8.8, ותוקף לא צריך שהקורבן יעשה דבר.
Traefik מתייחס ל-X-Auth-User ול-X.Auth.User כשני header-ים נפרדים, בעוד שרתי PHP, CGI ו-NGINX שמאחוריו מכווצים את שניהם לאותו משתנה. התוצאה היא שתוקף יכול להגניב זהות משלו לצד זו שה-proxy קבע.