כל הכתבות של CyberNow בנושא CVSS — 74 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 4 מתוך 8.
ב-26 בספטמבר פרסמה NVD 77 רשומות CVE נגד OpenClaw, שער שמחבר סוכן AI לערוצי הודעות ולכלים על המחשב המארח. הציון הגבוה בחבילה הוא 8.8, ו-34 מהרשומות מתארות אותו כשל בדיוק: זהות השולח לא נוסעת יחד עם הבקשה אל הכלי שמטפל בה.
שער API מחזיק כדין את פרטי האימות של כל מה שיושב מאחוריו, ובחולשה בציון 10 ב-WSO2 API Manager מספיק להרכיב token ולחתום אותו בשיטה שהשרת לא אמור לקבל. העדכון זמין מאז מאי, והניצול הראשון תועד ב-13 בספטמבר.
חולשה בליבת וורדפרס מאפשרת לתוקף בלי חשבון לגרום לאתר לטעון קובץ PHP מקומי שהוא בחר. הציון 8.1 אומר שהתקיפה מורכבת, וזה נכון, אבל תוך יממה היה לה template מוכן של Nuclei.
F5 איתרה בעצמה חולשה ב-BIG-IP APM ואז מסרה שתוקפים כבר מנצלים אותה. CISA נתנה שלושה ימים לטפל, אבל השורה הראשונה בהוראה שלה אינה התקינו את התיקון.
GreyNoise תיעדה ניצול בפועל של חולשה בת שלושה חודשים במתגי Zyxel GS1900, ומצאה שהתוקף חילץ תצורות ופרטי אימות מ-996 מתגים בעשרות מדינות. ציון ה-CVSS של החולשה, 8.8, בנוי על ההנחה שממשק הניהול של המתג נגיש רק מהרשת המקומית.
תוקף שעונה לחיבור TLS 1.3 של לקוח Erlang/OTP יכול לצרף לתשובה שלו הרחבה שהלקוח מעולם לא ביקש, והלקוח מדלג על כל בדיקות התעודה: אימות השרשרת, שם המתחם, CRL ו-OCSP. החולשה CVE-2026-89422 בציון 9.3 קיימת מ-OTP 22.2, ושלוש חבילות תיקון יצאו ב-22 בספטמבר 2026.
ב-17 וב-18 בספטמבר פרסמה NVD 34 רשומות CVE נגד vm2, הספרייה שמריצה קוד JavaScript לא מהימן בתוך תהליך Node.js. שתים עשרה מהן קיבלו את הציון המרבי, אבל הגרסאות שסוגרות אותן עלו ל-npm עוד בתחילת החודש.
ב-18 בספטמבר הוסיפה CISA שלוש חולשות בגרעין לינוקס לקטלוג החולשות המנוצלות בפועל, וקבעה לגופים הפדרליים שלושה ימים לסגור אותן. שתיים מהן תוקנו עוד ב-2025, ולאחת מהן שלושה ציוני CVSS שונים משלושה גופים.
Google תיקנה חולשה במודם הסלולרי של Pixel וציינה שיש אינדיקציות לניצול מוגבל וממוקד. יום אחריה צירפה CISA את החולשה לקטלוג המנוצלות עם מועד יעד של שלושה ימים. הציון 8.8, ותוקף לא צריך שהקורבן יעשה דבר.
Traefik מתייחס ל-X-Auth-User ול-X.Auth.User כשני header-ים נפרדים, בעוד שרתי PHP, CGI ו-NGINX שמאחוריו מכווצים את שניהם לאותו משתנה. התוצאה היא שתוקף יכול להגניב זהות משלו לצד זו שה-proxy קבע.