ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
מוצר שתפקידו לחסום תקיפות על אתרים מכיל חולשה שמאפשרת למי שהשיג דריסת רגל קטנה בשרת להריץ פקודות בהרשאות הגבוהות ביותר. ה-CERT היפני פרסם התרעה דחופה, והיצרן מאשר שהחולשה כבר נוצלה.
תשעה ימים לפני הבחירות הכריזו מערך הסייבר הלאומי וועדת הבחירות המרכזית על מבצע להגנת המערכות הדיגיטליות שמסביב להצבעה. בין התרחישים שתורגלו, לפי וואלה טכנולוגיה, יש גם כזה שבו גורם עוין לא פורץ לכלום ורק מייצר רושם שפרץ.
SafeDep פירקה את imgdecode, חבילת npm שהעבירה את הלוֹדר שלה לתוך רכיב בינארי מהודר לווינדוס, כך שסורק שקורא JavaScript לא רואה כלום. חמש החבילות האחרות באותו קמפיין הוסרו מהמאגר, והיא עוד שם.
כל אחד יכול לשלם כדי להופיע מעל תוצאות החיפוש, גם מי שמתחזה לבנק שלכם. פרסום זדוני הוא שימוש של תוקפים במערכת הפרסום הרגילה של האינטרנט, ולפעמים הוא לא דורש מכם אפילו לחיצה אחת.
המונה שסופר כמה תהליכים מחוברים למקטע זיכרון משותף הוגדר ב-BSD המקורי כ-short חתום, ומעולם לא הורחב. חוקר מחברת Calif הראה איך גלישה של המונה הזה, יחד עם כתיבה חורגת אחת, מספיקה להרשאות root על OpenBSD גם כשכל הגנות הקרנל פעילות.
מי שמנסה להדליק בווינדוס 11 את ההגנה שחוסמת תוכנות לא מוכרות מגלה שהאפשרות אפורה וחסומה. מיקרוסופט אישרה שהתקלה הגיעה עם עדכון האבטחה של 13 באוקטובר, ולפי שעה אין לה תיקון.
הכותרות השבוע תיארו בינה מלאכותית שלומדת לשכפל את עצמה. המחקר שמאחוריהן הוא ניסוי מבוקר על ממירים זולים שבהם ממשק הניפוי הושאר פתוח בכוונה, והוא לא הדגים תולעת שעובדת מקצה לקצה. התחזית לסוף 2026 היא הסקה מקצב השיפור של השנים האחרונות, לא מדידה.
התראה רשמית של ה-FBI מתארת ארבע תרמיות שמתעוררות סביב מערכת בחירות, מוועדות קמפיין מזויפות ועד עמודי רישום לבוחרים שכל תפקידם לאסוף פרטים אישיים. לפי ההתראה, העבריינים כבר מייצרים בכלי AI קולות ותמונות של מועמדים ושל אנשים שהנמען מכיר.
חוקרי pwn.ai מצאו שמטא-דאטה של checksum שמגיעה ממכונה וירטואלית יכולה לשנות את כותרת ה-IPv4 אחרי שהקרנל של המכונה הפיזית כבר בדק אותה ואישר אותה. התוצאה היא דליפת זיכרון מתמשכת, שהודגמה על סביבות הייצור של Vercel, ובמעבדה גם הרצת קוד עם הרשאות root.
חולשה חדשה ב-TeamCity של JetBrains מאפשרת הרצת קוד על שרת הבנייה בלי אימות. NVD נותנת לה 9.8, היצרן נותן 8.1, והקודמת מאותה משפחה נכנסה לקטלוג הניצול בפועל תשעה ימים אחרי שפורסמה.