כל הכתבות של CyberNow בנושא CVSS — 29 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 2 מתוך 3.
בוטנט בשם RondoDox אימץ את החולשה ב-Ray לפני שהיא בכלל קיבלה מספר CVE, וחתם כל בקשת ניצול בכרטיס ביקור שמפעיל בדיוק את ההגנה שהוא ניסה לעקוף. CISA הוסיפה את CVE-2025-62593 לרשימת ה-KEV ב-17 באוגוסט.
אפל תיקנה ב-6 באוגוסט חולשה בשיתוף המסך של macOS שמאפשרת לתוקף ברשת להתחבר בלי פרטי אימות תקינים. שבוע אחר כך, אחרי דיווח הולנדי על מכונות שנפרצו והושתלו בהן כורי מונרו, הציון שלה שוכתב כלפי מעלה.
חולשה קריטית ב-ServiceNow AI Platform מאפשרת השתלטות על המערכת בלי הזדהות, בציון CVSS 9.5. לקוחות הענן תוקנו כבר באפריל, לקוחות ה-self-hosted רק ביולי, וחמישה ימים אחר כך התחילו המתקפות.
חולשת עקיפת אימות בלוח הבקרה cPanel ו-WHM קיבלה ציון 9.3 ונוצלה כיום-אפס עוד לפני שפורסמה. תוקף לא מזוהה נכנס לצד המנהל של השרת, ומשם לכל האתרים שיושבים עליו.
החולשה קיבלה ציון CVSS צנוע של 5.3, אבל היא כבר ברשימת המנוצלות בפועל של CISA ו-Cisco מדרגת אותה כגבוהה. הסיפור הוא בדיוק הפער: חשבון עם סיסמה קבועה שמוטמעת בכל התקנה של מערכת שמנהלת את כל חומות האש של הארגון.
חולשת CVE-2025-68686 ב-FortiOS קיבלה ציון בינוני של 5.9, אבל CISA כבר סימנה אותה כמנוצלת בפועל. תוקפים עקפו בעזרת לוכסן כפול את התיקון שאמור היה לחסום את שיטת השרידות שלהם ב-FortiGate.
חולשה בציון 10.0 ב-VeloCloud Orchestrator של Arista נותנת לתוקף לא מזוהה שליטה מלאה על שרת הניהול של רשת SD-WAN שלמה, והיא כבר מנוצלת בשטח. נסביר למה זה בדיוק עשר מלא ומה עושים עכשיו.
חולשת עקיפת אימות ב-SmartConsole של צ'ק פוינט מאפשרת לתוקף מרוחק להשתלט על שרת הניהול בהרשאות מנהל. הציון 9.1, החולשה כבר מנוצלת בשטח, ומוצרי צ'ק פוינט נפוצים מאוד בארגונים בישראל.
שתי חולשות בליבת וורדפרס, הזרקת SQL ובלבול נתיבים ב-REST API, משתרשרות יחד לכדי הרצת קוד מרחוק בלי שום אימות. שתיהן כבר מנוצלות בשטח ונכנסו לרשימת ה-KEV של CISA.
חולשת הזרקת פקודות ב-FortiSandbox של פורטינט מאפשרת לתוקף לא מזוהה להריץ קוד בהרשאות root, ונכנסה לרשימת החולשות המנוצלות בפועל של CISA. סקירה של החולשה, ציר הזמן, מנגנון הניצול, מה הציון 9.8 אומר בפועל, ואיפה למצוא קוד הדגמה.