ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
חולשה בתוסף WooCommerce Wholesale Lead Capture מאפשרת לכל אחד להעלות קובץ PHP לאתר בלי להתחבר אליו, ומשם להשתלט עליו. היצרן פרסם תיקון עוד בפברואר, ו-Wordfence מדווחת שחסמה מאז יותר מ-100 אלף ניסיונות ניצול.
חמישה אזרחים ניגרים שלפי התביעה האמריקאית ניהלו מקייפטאון הונאות רומנטיות במשך עשור הוסגרו לארצות הברית ב-11 בספטמבר. חלק מהקורבנות, לפי כתב האישום, גם נסחטו באיום לפרסם תמונות אינטימיות ששלחו.
סיסקו פרסמה עדכון חירום ל-Cisco Secure Email Gateway אחרי שזיהתה ניצול פעיל של חולשה בציון 9.8. הודעת דואר בנויה כהלכה מספיקה כדי להגיע להרצת פקודות בהרשאות root, ולמי שיש חשד שנפרץ סיסקו לא מציעה לעדכן אלא לבנות את המכשיר מחדש.
ההרשאה שאישרתם פעם אחת בהתקנה ממשיכה לעבוד ברקע גם שנה אחר כך, ואף אחד לא בודק מחדש מה האפליקציה עושה איתה. מה מסתתר מאחורי החלון הקטן שמבקש "לאפשר", ואיך עוברים עליו בלי למחוק חצי טלפון.
חוקרים מ-KU Leuven, מ-ETH ציריך, מאוניברסיטת דורהאם ומגוגל הראו שאפשר להפיל כתיבות לזיכרון DDR5 בעזרת לוח מתגים זול, להוציא מכונה וירטואלית מוגנת ממצב ההגנה שלה ולזייף את הדוח החתום שמוכיח ללקוח מה רץ בפנים. אינטל ו-AMD פרסמו הודעות ואמרו שמתקפות פיזיות על הזיכרון נמצאות מחוץ למודל האיומים שלהן.
בדיקה של Gamers Nexus טוענת שטלוויזיות LG מקליטות גם כשהמסך כבוי ומדווחות לזרוע הפרסום של החברה. LG אומרת שהטענות אינן נכונות, אבל מאשרת שהמכשיר סורק את הרשת הביתית ומזהה מה מחובר אליה.
כפתור שנראה ריק בהודעת טלגרם יכול היה להחביא קוד שרץ ברגע שמייצאים את השיחה לקובץ ופותחים אותו בדפדפן. טלגרם תיקנה ביולי, אבל קבצי ייצוא שנשמרו לפני כן נשארו בדיוק כפי שהיו.
חברת התקשורת הקנדית שלחה בספטמבר הודעות ללקוחות פרטיים שלחשבונותיהם ניגש גורם לא מורשה בין פברואר 2025 ליוני 2026, עם סיסמאות תקינות ובלי פריצה למערכות. הפרטים שימשו לשיחות שכנוע לעבור למתחרים, ובחלק מהמקרים לשינויי שירות שהלקוח לא ביקש.
כל קישור בתוצאות החיפוש של גוגל עובר עכשיו דרך כתובת ביניים מקודדת בתוך google.com. גוגל אישרה את השינוי בסוף אוגוסט בלי לפרט נגד מה הוא מכוון, והעצה הנפוצה ביותר נגד פישינג, לבדוק לאן הקישור מוביל לפני הלחיצה, איבדה את המקור שלה.
חוקרי Socket מצאו שתוסף דפדפן פופולרי לחסימת פרסומות ב-Twitch מנתב את בקשות הווידאו דרך שרתים של שירות בוטים רוסי, ומצרף לכתובת את ה-token החי של המשתמש. עשרה ערוצים ברשימה קבועה פטורים מזה.