כל הכתבות של CyberNow בנושא עדכוני אבטחה — 38 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 3 מתוך 4.
חולשה בקונסולת הניהול של צ'ק פוינט מאפשרת לתוקף מהרשת להשיג שליטה מלאה על מערכת האבטחה של ארגון, בלי שם משתמש ובלי סיסמה. החברה אישרה שהיא מנוצלת במתקפות אמיתיות, וקוד לניצולה כבר פורסם.
חוקרים הדגימו איך עצם הביקור בעמוד מלכודת מאפשר לתוקף להריץ קוד על המכשיר, בלי שום לחיצה. מוזילה תיקנה את החולשה, שנוגעת גם ל-Firefox לאנדרואיד ולדפדפן Tor.
כולנו לוחצים 'מאוחר יותר' על הודעת העדכון. אבל עדכון אבטחה הוא המנעול המתוקן שהיצרן שולח לכם בחינם אחרי שהתגלה שאפשר לפתוח את הישן. מה זה, איפה פוגשים את זה, ואיך לא להישאר מאחור.
השבוע שבו ה-AI הפך גם למשטח תקיפה: פרסומות מזויפות של Claude, סוכנים שהומלצו לרדת נוזקה, וסוכן אוטונומי שפרץ לחברה שהריצה אותו. לצד חולשות שכבר מנוצלות ודליפות ענק.
חוקרי Qualys חשפו חולשת מרוץ במערכת הקבצים XFS שנותנת למשתמש מקומי רגיל הרשאות root על שרתי Red Hat, בלי דרך לעקוף אותה. את החולשה הם מצאו כשכיוונו מודל של Anthropic אל קוד הליבה וביקשו באג ממשפחת Dirty COW.
חוקרים גילו חולשה בתוסף Adobe Acrobat לכרום, המותקן על מאות מיליוני דפדפנים, שאפשרה לאתר זדוני לשלוף בשקט הודעות ואנשי קשר מוואטסאפ ווב. אדובי כבר תיקנה, וצריך רק לוודא שהתוסף מעודכן.
מיקרוסופט תיקנה חולשה חמורה בשרתי SharePoint שארגונים מפעילים אצלם, וכבר דווח על ניסיונות ניצול בשטח. התוקפים גונבים את מפתחות ההצפנה של השרת כדי להישאר בפנים גם אחרי התיקון.
חוקרי Volexity ו-Rapid7 חשפו כיצד תוקף בשם UTA0533 שרשר חולשת SSRF בציון 10.0 עם חולשת הרצת קוד, השיג הרשאות root על מכשירי הגישה מרחוק של SonicWall, ושתל עליהם ארבע נוזקות כדי לחלץ פרטי אימות וזרעי אימות דו-שלבי.
גרסה 150 של הדפדפן מתקנת שבע חולשות זיכרון, בהן שלוש קריטיות שנוגעות לצילום, לכרטיס המסך ולרכיב הרשת. עדיין אין עדות לניצול בשטח, וזו בדיוק הסיבה לעדכן היום ולא בעוד שבועיים.
תוכנת הכיווץ החינמית שמותקנת על מיליוני מחשבים תוקנה בגרסה 26.02, אחרי שהתגלתה בה חולשה שמאפשרת לתוקף להריץ קוד על המחשב ברגע שפותחים קובץ שהוא הכין. 7-Zip לא מתעדכנת לבד, ולכן העדכון תלוי בכם.