1.3 מיליון ממירי טלוויזיה לאנדרואיד נמכרו עם נוזקה בתוכם, ולפי גוגל מי שהטמיע אותה היה היצרן עצמו. באותו שבוע המשגר הרשמי של משחק גדול הפיץ דלת אחורית יותר מחודש, ועדכון מזויף של מוצר אבטחה רץ כ-root על כ-2,950 שרתי אירוח. אז השבוע הזה פחות עסק בחולשות שתוקפים מצאו, ויותר בדרך שבה התוכנה מגיעה אליכם מלכתחילה.

כשהערוץ הרשמי הוא זה שמדביק

אף אחד מהמקרים האלה לא התחיל בפריצה לשרת שלכם. הממירים של Videostrong הגיעו נגועים מהמפעל וגוגל שללה את רישיון היצרן, המשגר של NIKKE הגיש קובץ שהוחלף ב-CDN, והעדכון המזויף של cPGuard נסע בדיוק על ערוץ העדכון של המוצר שחסם את אותו תוקף פעמיים קודם. לרשימה מצטרפים הגרסה הזדונית של תוסף Claude Code בחנות של Cursor, שדחפה 66 שורות לפני הקוד האמיתי והוסיפה מפתח ל-authorized_keys, מנוע הקלט של Sogou שהפיץ את המרגל DarkVigil, וסקריפט הניטור שרוקן ארנקים ב-Polymarket. שישה מקרים בשבוע אחד זה כבר לא צירוף מקרים.

ישראל נכנסה לעשירייה

הדוח הרבעוני של Cloudflare מראה עלייה של שבעה מקומות: ישראל נמצאת עכשיו בעשירייה של היעדים המותקפים ביותר בהצפות DDoS, מתוך 18.2 מיליון מתקפות שנמדדו ברביע. ממוקד יותר, דוח אחד מייחס לקבוצת DarkBlinders גם יעד ישראלי, שהתחיל בבקשה תמימה להתקין אפליקציה קטנה לפני פגישה. ובכיוון ההפוך, Europol עצרה שבעה אנשים בפעולה נגד אתרי מסחר מזויפים שלפי הארגון סופקו כשירות מקפריסין ומישראל.

מודל שפה, בשני הכיוונים

שלושה דוחות השבוע תיארו את אותה התפתחות מזוויות שונות: הבקר שנחשף של VAPOR PANDA מראה סוכני AI שרצים במקביל נגד 200 ארגונים ב-14 מדינות בתוך 11 ימים, CyberStrikeAI נותנת למודל שפה להחליט מה הצעד הבא ומגיעה לדומיין שלם בארבעה ימים, וVOLTA שולחת את התיק שגנבה למודל כדי שידרג את הקורבן. אבל ה-AI הוא גם היעד, לא רק הכלי: צ'ק פוינט עקפה את מצב הנעילה של ChatGPT דרך חלון קופץ, ארבע חולשות במנועי ההרצה של קוד שמודל כתב נבעו מארגז חול שהופעל עם כל ההרשאות, והפריצה ל-Northflank נגמרה בהנחיה ללקוחות להניח שכל מפתחות ה-API שלהם נגנבו.

חודש הקניות נפתח, והעוקצים איתו

מערך הסייבר פתח את נובמבר בהמלצות לחודש הקניות, סביב שני סימנים שחוזרים כמעט בכל חנות מזויפת: מחיר חריג ולחץ לשלם עכשיו. כמה ימים אחר כך הוא פתח אתר שבודק קישור בלי לפתוח אותו, וזה כנראה הכלי השימושי ביותר שיצא השבוע למי שלא עוסק באבטחה. ברקע, רשת האופנה Revolve דיווחה שתוקפים שלפו מספרי כרטיסים ותאריכי תוקף מחשבונות לקוחות, הסרה של ביקורת שלילית אחת מ-Airbnb נמכרת בכ-1,100 דולר בשוק שמעצב את הדירוגים שאתם קוראים לפני קנייה, וקמפיין פישינג הגיע דרך הזמנות ביומן גוגל וגנב את ה-session אחרי שהקורבן אישר את ההתחברות בטלפון. מערך הסייבר התריע גם על שיחה מוקלטת שמודיעה שמישהו בטהראן נכנס לחשבון הגוגל שלכם.

התיקונים שלא כדאי לדחות

אם תעשו רק דבר אחד מהשבוע הזה, העדכון של OpenSSH הוא המועמד: סיסמה ארוכה מ-256 תווים פתחה חשבונות שחסומים להתחברות בסיסמה, והתיקון יצא כחירום. לידו, חולשה ב-APT נותנת root דרך מירור עוין אחרי שהחבילה כבר עברה את בדיקת החתימה, עדכון אנדרואיד לנובמבר סוגר 216 חולשות וביניהן הרצת קוד בלי שתלחצו על כלום, סינולוג'י קוראת לבעלי כונני רשת לעדכן מיד מול כופרת C3RB3R, וZyxel הוציאה עדכון שני למתגי GS1900 אחרי שכ-1,000 מהם נפרצו למרות התיקון מיוני. החולשה בציון 10 ב-SIMATIC IoT2050 של סימנס כבר נוצלת בפועל.

מה לקחת מהשבוע הזה

הקו שמחבר את רוב השבוע הוא שהאמון בערוץ ההפצה הוא עצמו שטח תקיפה. בפועל זה אומר שני דברים: לעדכן מהמקור הרשמי ולא מקישור שהגיע בהודעה, ולבדוק אחרי עדכון גדול שהמערכת באמת במצב שציפיתם לו, ולא רק שהגרסה התחלפה. ואם אתם קונים אונליין החודש, הבודק שמערך הסייבר פתח השבוע הוא בדיוק בשביל הרגע שבו הגיע קישור ואתם לא בטוחים.