כל הכתבות של CyberNow בנושא עדכוני אבטחה — 99 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
גוגל פרסמה את עדכון האבטחה של אנדרואיד לנובמבר 2026, ובו 216 חולשות ש-23 מהן בדרגה קריטית. אחת מהן מאפשרת לפי גוגל הרצת קוד מרחוק על מכשירים עם אנדרואיד 14 עד 17, בלי שום פעולה מצד המשתמש.
ב-1 בנובמבר קיבל צוות BTCPay Server, תוכנה שבעלי חנויות מתקינים על שרת משלהם כדי לקבל תשלומים בקריפטו, דיווחים ראשונים על גניבות מארנקים שהוחזקו על אותם שרתים. החקירה מצביעה על גרסה 2.4.1 וקודמות, והצוות אומר שעדכון לבד לא מספיק.
כופרה בשם C3RB3R מצפינה קבצים בכונני רשת של סינולוג'י שלא עודכנו, דרך חולשה שהחברה תיקנה כבר בדצמבר 2024. סינולוג'י פרסמה אזהרה נדירה, וארגון הניטור Shadowserver סופר יותר מ-380 אלף מכשירים כאלה חשופים לאינטרנט.
הודעת SMS אחת שהטלפון מעבד בעצמו ולא מציג מפילה את הרכיב שמנהל את כל הטלפוניה באנדרואיד. גוגל תיקנה באוקטובר, אבל רק מגרסה 14 ומעלה.
בשליטה מרחוק הצד שמסתכן הוא בדרך כלל מי שפותח את המחשב שלו. חולשה שתוקנה בגרסה 15.83 הופכת את הכיוון: מחשב נשלט זדוני יכול להפיל את התוכנה אצל מי שהתחבר אליו, ובחלק מהמקרים גם להריץ אצלו קוד.
בכל פעם שוורדפרס מעדכן את עצמו הוא מניח לכמה שניות עותק שלם של עצמו בתיקייה שהדפדפן יכול להגיע אליה. התיקון יצא ב-28 באוקטובר, ולפי Wordfence התוקפים התחילו לדפוק על הנתיב הזה מיד.
TianoCore פרסמה התראה על CVE-2026-97631, חולשה בציון 9.5 בדרייבר ה-PXE של edk2 שמאפשרת לכתוב מעבר לשדה של 504 בתים בזמן אתחול מהרשת. התיקון מוזג ל-master ב-15 באוקטובר, אבל אף גרסה יציבה עוד לא מכילה אותו, והוא היה פומבי בבקשת מיזוג ב-GitHub שלושה שבועות לפני שההתראה פורסמה.
חולשה ברכיב CoreGraphics תוקנה בספטמבר במכשירים החדשים. ב-26 באוקטובר יצא iOS 18.7.11, שמביא את אותו תיקון לאייפון XS, XS Max ו-XR ולאייפד מהדור השביעי. אפל אומרת שהחולשה אולי נוצלה בתקיפה מתוחכמת במיוחד נגד אנשים ספציפיים.
שתי התראות שפרסם פרויקט Wasmtime ב-19 באוקטובר מתארות דרכים שונות לחלוטין להוציא קוד מתוך ארגז החול של WebAssembly, ושתיהן יושבות ב-compiler ולא במנוע עצמו. אחת מהן קיימת בכל גרסה שתומכת ב-ARM64 מאז 2020.
חוקרי Kaspersky מצאו בוטקיט UEFI חדש על מכונות של גופים דיפלומטיים בטג׳יקיסטן, אוזבקיסטן וטורקמניסטן, ומייחסים אותו ל-APT41 בביטחון בינוני. הסיבה שהוא עבד דווקא על מכונות מעודכנות היא שהחלק בתיקון שבאמת חוסם את החולשה הוא צעד ידני ואופציונלי, שמעט מנהלי מערכת מגיעים אליו.