עדכוני אבטחת מידע וסייבר

ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.

9 באוקטובר 2026כתבת מערכת

מסך השחזור נראה כמו הארנק האמיתי, והמילים נשלחו גם לתוקפים: 16 תוספים מזויפים לפיירפוקס גנבו ארנקי קריפטו

חברת Socket מצאה בחנות התוספים של פיירפוקס 16 תוספים שהתחזו לארנקי Rabby ו-OKX ואספו את מילות השחזור של המשתמשים. כולם הוסרו עד ה-5 באוקטובר, אבל אותה קבוצה כבר עשתה את זה באוגוסט תחת שמות אחרים.

אבטחת דפדפןמטבעות קריפטונוזקות
9 באוקטובר 2026כתבת מערכת

הנוזקה הייתה בטלפון לפני שהקופסה נפתחה: מכשירי אנדרואיד זולים נמכרו עם קוד זדוני בתוך הקושחה

חוקרי Bitdefender מצאו קוד זדוני מוטמע בקושחה של טלפוני אנדרואיד זולים על שבבי MediaTek, באלפי מכשירים ביותר מ-150 מדינות. הוא רץ בהרשאות מערכת, מתקין אפליקציות בשקט, ואיפוס להגדרות היצרן לא מסיר אותו.

אנדרואידנוזקותאבטחת סמארטפוןשרשרת אספקה
8 באוקטובר 2026כתבת מערכת

שלוש פעמים באותו רכיב מאז יולי: חולשה בציון 10.0 בשערי ה-VPN של SonicWall לא דורשת סיסמה

SonicWall שלחה תיקון לארבע חולשות בסדרת SMA1000, השערים שדרכם עובדים מתחברים מהבית אל רשת הארגון. החמורה שבהן יושבת בעמוד ההתחברות עצמו ולא דורשת חשבון, וזאת הפעם השלישית ב-2026 שאותו רכיב מקבל תיקון דומה.

חולשותעדכוני אבטחהVPNSonicWall
8 באוקטובר 2026כתבת מערכת

שילמה 8,200 דולר לתוקפים וחייבה את הלקוח ב-150 אלף: כתב אישום נגד הבעלים של חברת שחזור מכופרה

הפרקליטות הפדרלית בניו יורק מאשימה את זהר פינחסי, בעל חברת MonsterCloud מפלורידה, שמכר לקורבנות כופרה שחזור בטכנולוגיה מתקדמת ובפועל קנה את מפתחות הפענוח מהתוקפים עצמם. פינחסי הודה שאינו אשם ושוחרר בערבות.

כופרההונאהאכיפת חוק
8 באוקטובר 2026כתבת מערכת

ביטול ה-token הוא מה שמפעיל את המחיקה: כך חזרה התולעת Shai-Hulud ל-npm דרך ה-SDK של Tensorlake

גרסה זדונית של חבילת npm פופולרית פורסמה מה-CI של הפרויקט עצמו, עם חתימת מקור תקינה. היא אוספת פרטי אימות מענן, מ-Kubernetes ומכלי פיתוח מבוססי AI, ומשאירה אחריה שירות שמוחק את ספריית הבית אם מבטלים את ה-token שנגנב.

שרשרת אספקהנוזקותnpm
8 באוקטובר 2026כתבת מערכת

הבדיקה שנוספה במרץ מכסה שלושה סוגי צמתים, והניצול נכנס דרך מה שהיא דילגה עליו: החולשה בציון 9.8 ב-Handlebars

גרסה 4.7.9 של Handlebars יצאה במרץ כדי לתקן חולשה בציון 9.8, ועכשיו היא עצמה בתוך טווח הגרסאות המושפעות של CVE-2026-106446, גם הוא בציון 9.8. הבדיקה שנוספה אז מכסה שלושה סוגי צמתים, והעקיפה עוברת דרך השדות שנשארו בחוץ.

CVSSמדריךnpmשרשרת אספקה
8 באוקטובר 2026כתבת מערכת

מספיק לשנות ארבע מילים בשיר כדי להעביר את כל הבוטנט לשרת חדש: PoeLLM תוקף שרתי AI חשופים

חוקרי Black Lotus Labs של Lumen עוקבים מאפריל אחרי נוזקה ששולפת את כתובת שרת השליטה שלה מתוך שיר שמאוחסן במאגר GitHub, לפי מילון מילים שמוטמע בקוד. היא נכנסת דרך חולשות ב-LiteLLM וב-Ivanti Sentry, מתקינה כורי מטבעות, והופכת את הקורבנות עצמם לסורקים שמחפשים את הקורבן הבא.

בינה מלאכותיתנוזקותמטבעות קריפטו
8 באוקטובר 2026כתבת מערכת

ארבעה צוותים פרצו את אותו בקר בית חכם ביום אחד: מה נשבר ביום השני של תחרות Pwn2Own

בקר הבית החכם Home Assistant Green היה המכשיר המבוקש של היום השני בתחרות הפריצה באירלנד ונפל ארבע פעמים, ה-Galaxy S26 נפרץ מרחוק שלוש פעמים, ומדפסת של Canon נפתחה דרך סיסמה שהוטמעה בה מראש. ליצרנים יש 90 יום להוציא עדכון.

חולשותמכשירים חכמיםעדכוני אבטחהמחקר אבטחה
8 באוקטובר 2026כתבת מערכת

מישהו הזמין תעודת אבטחה תקינה לשם google.sl, והוא לא היה גוגל: תוקפים השתלטו על ה-DNS של שלוש סיומות מדינה

תוקפים שינו את רשומות ה-DNS של סיומות המדינה של גאנה, סיירה לאונה וסמואה האמריקנית, וכך הוציאו 12 תעודות אבטחה תקינות לשמות של גוגל ויוטיוב. גוגל חסמה אותן ב-Chrome ואומרת שגם מותגים גלובליים אחרים נפגעו, בלי לנקוב בשמם.

תשתיותאבטחת אתריםגוגל