ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
Vercel פרסמה עדכון אבטחה מחוץ למחזור ל-Next.js אחרי שהתברר שטקסט שמגיע מכתובת הבקשה עלול להיקרא כקוד SVG, ומשם להוביל להרצת קוד על השרת. הגרסאות 16.2.0 עד 16.3.5 חשופות, ושלושת המקומות שבהם מפתח היה מחפש התראה על כך עדיין שותקים.
שירות בתשלום שמכר גישה לחשבונות מיקרוסופט בלי לגנוב אף סיסמה הושבת, ושני חשודים נעצרו בבריטניה. מה שהפך אותו למסוכן במיוחד היה מה שקרה אחרי הפריצה.
צ'ק פוינט פרסמה תיקון לחולשה בשרתי הניהול שלה שכבר נוצלה בתקיפות ביולי, ובאותה הודעה אישרה שגם חולשת ה-VPN מתחילת החודש מותקפת עכשיו, דווקא אצל לקוחות עסקים קטנים.
Malwarebytes מיפתה רשת של יותר ממאה אתרים שמוכרים מנויים לכלי בינה מלאכותית שאינם קיימים. כולם נבנו מערכת אתרים מסחרית אחת ב-249 דולר, וכפתור ההתחברות של גוגל בהם עובד באמת.
חוקר האבטחה פטריק וורדל מצא הגדרה לא מתועדת באפליקציית Muse למק, שכל תוכנה במחשב יכולה לשנות כדי לקרוא את מה שהמשתמש מכתיב ולהזריק לסוכן הוראות משלה. מטא לא פרסמה הודעת אבטחה.
חוקרי Blackpoint Cyber ניתחו נוזקת שליטה מרחוק חדשה שמגיעה דרך ClickFix, רצה על Node.js משלה, ושולפת את כתובת שרת השליטה מחוזה חכם ברשת Polygon. תוך כדי המחקר הם ראו את התשתית מתחלפת בזמן אמת.
תוקף שעונה לחיבור TLS 1.3 של לקוח Erlang/OTP יכול לצרף לתשובה שלו הרחבה שהלקוח מעולם לא ביקש, והלקוח מדלג על כל בדיקות התעודה: אימות השרשרת, שם המתחם, CRL ו-OCSP. החולשה CVE-2026-89422 בציון 9.3 קיימת מ-OTP 22.2, ושלוש חבילות תיקון יצאו ב-22 בספטמבר 2026.
קבוצת תקיפה סינית שלישית נתפסה מריצה את אותה שרשרת ניצול לשלוש חולשות שלא היה להן תיקון, והפעם דרך אתרים שטוענים את התוכן האמיתי של הגופים שהם מחקים. בסוף השרשרת נוזקה שלא תועדה קודם, שמתחזה לרכיב של מנגנון הקלט בווינדוס.
מפתחות הגישה של אפליקציה חיצונית בשם Ribon נגנבו, ובארבעה ימים נשתל דרכה קוד באתרי חנויות ונשלפו פרטי קונים. BigCommerce מדברת על מספר קטן של חנויות, וחנות אחת שנפגעה מעריכה שההיקף גדול בהרבה.
רשות הגנת המידע האירית קבעה שגוגל לא הסבירה מספיק מה היא עושה עם נתוני המיקום, ושמרה אותם זמן ארוך מהנדרש. הקנס אירופי, ההגדרות שבמוקד זהות לחלוטין בכל חשבון Google ובכל טלפון אנדרואיד שנמכר בישראל.