כל הכתבות של CyberNow בנושא CVSS — 74 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 2 מתוך 8.
פרויקט Incus פרסם תשע אזהרות אבטחה ב-25 בספטמבר 2026 ושחרר באותו יום את הגרסה שמתקנת אותן. מזהי ה-CVE של אותן תשע נרשמו ב-NVD רק ב-22 באוקטובר, ושתיים מהן בציון 9.9 לוקחות תעודה שמוגבלת ל-project אחד ומגיעות עד root על המארח.
ארבע חולשות ב-Plex Media Server, אף אחת מהן לא בציון קריטי, מצטרפות יחד להרצת קוד על השרת בלי שום פרטי אימות. יום אחרי שהמחקר פורסם נראה הניצול הראשון בשטח, וב-20 באוקטובר 2026 נכנסו כל הארבע לקטלוג ה-KEV של CISA.
שלוש חולשות שפורסמו ב-20 באוקטובר 2026 מאפשרות לקרוא קבצים ולהריץ קוד בתוך argocd-repo-server, הרכיב שמחזיק את פרטי האימות של כל ה-repository-ים. כולן קיבלו ציון 9.9, ובכולן יש מסלול שדורש רק הרשאת get על אפליקציה קיימת.
ההתראה המשותפת מ-20 באוקטובר 2026 מונה חמש חולשות שקבוצת הכופרה SafePay מנצלת, וכולן קיבלו תיקון בין 2020 ל-2024. הנמוכה שבהן בציון, 7.5 ב-Veeam Backup & Replication, היא גם זו שמובילה ישר אל תשתית הגיבוי.
בשש פלטפורמות להרצת סוכני AI התגלה אותו כשל: הגדרת ברירת המחדל שהפרויקט מפיץ משאירה את ה-API בלי אימות, והכלי שמריץ פקודות רשום ומחכה מעבר לו. המחקר הוא של Lasso Security מתל אביב, ולרוב הרשומות אין בכלל גרסה מתוקנת.
חולשה חדשה ב-TeamCity של JetBrains מאפשרת הרצת קוד על שרת הבנייה בלי אימות. NVD נותנת לה 9.8, היצרן נותן 8.1, והקודמת מאותה משפחה נכנסה לקטלוג הניצול בפועל תשעה ימים אחרי שפורסמה.
סיסקו פרסמה חולשה בציון 9.8 בשער הדואר המאובטח שלה, שמנוצלת בשטח ומאפשרת הרצת פקודות בהרשאות root ממייל אחד. טבלת הגרסאות המתוקנות נראית כמעט זהה לזו מלפני חודש, והמספר שבאמת קובע לא מופיע בה.
איוונטי תיקנה ב-13 באוקטובר שתיים משלוש החולשות ששרשר התוקף ב-Connect Secure. השלישית, זו שמעניקה root, עדיין בלי תיקון, ולפי Volexity בודק השלמות של היצרן לא מזהה את הניצול.
ב-24 בספטמבר תוקנה גלישת מספר שלם בקומפיילר שמקמפל ביטויים רגולריים בקבצי ה-CI/CD של GitLab, בציון 9.9. ב-12 באוקטובר יצא תיקון שני לאותו סוג באג באותו רכיב, הפעם בציון 10, כי הפעם לא נדרש חשבון בכלל.
ה-cookie שמאפשר ל-GlobalProtect לזכור משתמש מוצפן במפתח שמתפרסם בשרשרת התעודות של אותו שרת, וחתימה אין בו. ReliaQuest מדווחת שחמישה חודשים אחרי התיקון שתי קבוצות כופרה עוד מנצלות את זה כדי לפתוח session VPN בלי פרטי אימות.