כל הכתבות של CyberNow בנושא ניהול פגיעויות — 61 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
Sekoia מתארת קמפיין השקיה שהיא מייחסת בביטחון בינוני עד גבוה ל-APT29, ובו שלוש שרשרות ניצול מוכנות שמורכבות כולן מחולשות שהיצרנים כבר תיקנו. אף אחת מהשמונה לא עברה את 8.8, והקציר שהן מחזירות הוא מסדי הנתונים של וואטסאפ וטלגרם, ה-Keychain וסיסמאות ה-Wi-Fi.
ממשק ה-Node-RED על שער תעשייתי של סימנס לא אכף אימות, ומי שהגיע אליו ברשת יכול לשמור תהליך עבודה שמריץ פקודות מערכת. VulnCheck מדווחת על ניצול בפועל מאז 30 באוקטובר, וחלק מהתוקפים לא משאירים נוזקה בכלל.
צוות המחקר של JFrog פרסם ארבע חולשות בשתי פלטפורמות שמריצות קוד שהגיע מלקוח או ממודל שפה. בשלוש מהן התוקף הוא דייר מורשה שיוצא מהקופסה שהוקצתה לו, וברביעית, בציון 10, התיעוד עצמו הבטיח בידוד לקוד לא אמון.
ב-29 באוקטובר נרשמו ב-NVD חמש-עשרה חולשות בשרת העברת הקבצים WS_FTP Server, כולן מפנות לאותה הודעת יצרן אחת. שלוש מתוקנות בגרסה 2024.0.6, ושתים-עשרה האחרות דורשות את 2024.0.7, ובהן אחת בציון 9.9 ושלוש בציון 9.1.
חוקר שטיפל בקריאת תמיכה של Cisco על חומת אש שעולה מחדש בלי הסבר מצא בסופה חולשה שתוקפים כבר השתמשו בה. היא מפילה את שער ה-VPN בלי שום אימות, קיבלה 8.6, ונכנסה לקטלוג ה-KEV יום אחרי הפרסום. זו השנייה מאותו סוג באותו שירות תוך אחד עשר שבועות.
CVE-2026-41709 אינה מאפשרת להיכנס לשום מקום ואינה מאפשרת הרצת קוד, ולכן Broadcom דירגה אותה 2.7 מתוך 10. לפי CrowdStrike, קבוצת WARP PANDA ניצלה אותה כחולשת יום-אפס בפריצות למשרדי עריכת דין בארצות הברית, כדי שהפעולות שלה לא יירשמו ביומן.
שתי חולשות הרצת הקוד ב-PHP נכנסו לקטלוג ה-KEV של CISA ב-26 באוקטובר, ובאותו יום סיימה NVD לנתח אותן. צוות PHP דירג את שתיהן 9.2, NVD נתנה 9.8 ו-8.1, וכל ההפרש יושב במטריקה אחת.
Arista מדווחת שחולשת SQL Injection בציון 9.4 ב-VeloCloud Orchestrator מנוצלת בפועל, וכדי להגיע אליה די בחשבון Enterprise Read Only, התפקיד המוגדר מראש הנמוך ביותר במוצר. זו החולשה השלישית באותו מוצר שנכנסת לקטלוג ה-KEV מאז סוף יולי, והראשונה מהשלוש שדורשת בכלל להתחבר.
חוקרי CyberDanube מצאו שמונה חולשות בקושחה של עמדת הטעינה Autel Maxi Charger Single, ביניהן הרצת קוד ללא אימות דרך שירות שמאזין בפורט 9002 ו-token ניהול קבוע שמוטמע בקושחה. NVD סיימה לדרג את כולן ב-24 באוקטובר 2026, ובשבע מתוך השמונה הציון שלה נמוך משל החוקרים, תמיד מאותה סיבה.
פרויקט Incus פרסם תשע אזהרות אבטחה ב-25 בספטמבר 2026 ושחרר באותו יום את הגרסה שמתקנת אותן. מזהי ה-CVE של אותן תשע נרשמו ב-NVD רק ב-22 באוקטובר, ושתיים מהן בציון 9.9 לוקחות תעודה שמוגבלת ל-project אחד ומגיעות עד root על המארח.