כל הכתבות של CyberNow בנושא ניהול פגיעויות — 61 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 3 מתוך 7.
ב-8 באוקטובר נרשמו 31 רשומות CVE למוצר אחד, Guardium Data Protection, שתפקידו לנטר את התעבורה למסדי הנתונים בארגון. ארבע מהן יושבות ברכיבים שמפרסרים את התעבורה הזאת, ובאחת מהן NVD נתנה 9.8.
ההתראה המשותפת AA26-281A מונה שמונה חולשות שהתוקפים ניצלו בהצלחה, וחמש מהן נכנסו באותו יום לקטלוג ה-KEV. לשתיים מהן אין בכלל ציון CVSS v3 מ-NVD, והנמוכה בציון היא דווקא זו שדורשת חשבון ניהול מראש.
חולשה בציון 9.8 ב-FortiMail מאפשרת לתוקף שאינו מזוהה לכתוב קובץ על שרת הדואר, והיא מנוצלת בשטח מהיום שפורסמה. הסיפור הטכני הוא תו אחד שמשתיק את בדיקת הנתיב, וקובץ אחד שהופך כתיבה להרצת קוד.
גרסה 2.4.69 של Apache HTTP Server מתקנת 20 חולשות, ואף אחת מהן לא דורגה קריטית בידי צוות האבטחה של אפאצ'י. שלוש שעות אחרי הפרסום קיבלו שלוש מהן ציון CVSS 9.8 ממקור אחר לגמרי.
ב-21 בספטמבר נפרץ DIVD, המכון ההולנדי לגילוי חולשות, דרך שתי חולשות יום-אפס ב-Zammad. אחת נותנת session והרצת קוד על השרת, השנייה הופכת את חשבון השירות ל-root. NVD נתנה לכל אחת 9.8, ושתיהן נכנסו לרשימת ה-KEV של CISA עם תאריך יעד 5 באוקטובר.
Cisco פרסמה ב-30 בספטמבר תיקון לחולשה בציון 9.8 ב-Catalyst SD-WAN Manager, ובאותו יום היא כבר נכנסה לקטלוג ה-KEV. כלל האימות שמגן על כתובת ההתחברות משווה מחרוזות, ודי לכתוב תו אחד ממנה בקידוד אחוזים כדי שהכלל יפספס אותה והבקשה תתקבל בהרשאות admin.
Citrix פרסמה ב-27 בספטמבר תיקון לשמונה חולשות ב-NetScaler ואישרה ששתיים מהן כבר נוצלו. לפי החוקר Kevin Beaumont המתקפות רצו לאורך כל החודש שקדם לכך, ה-webshell שהושתל היה שונה בכל מכשיר, והתוקפים מחקו אחריהם עקבות.
ב-26 בספטמבר פרסמה NVD 77 רשומות CVE נגד OpenClaw, שער שמחבר סוכן AI לערוצי הודעות ולכלים על המחשב המארח. הציון הגבוה בחבילה הוא 8.8, ו-34 מהרשומות מתארות אותו כשל בדיוק: זהות השולח לא נוסעת יחד עם הבקשה אל הכלי שמטפל בה.
שער API מחזיק כדין את פרטי האימות של כל מה שיושב מאחוריו, ובחולשה בציון 10 ב-WSO2 API Manager מספיק להרכיב token ולחתום אותו בשיטה שהשרת לא אמור לקבל. העדכון זמין מאז מאי, והניצול הראשון תועד ב-13 בספטמבר.
F5 איתרה בעצמה חולשה ב-BIG-IP APM ואז מסרה שתוקפים כבר מנצלים אותה. CISA נתנה שלושה ימים לטפל, אבל השורה הראשונה בהוראה שלה אינה התקינו את התיקון.