כל הכתבות של CyberNow בנושא אבטחת אתרים — 30 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
מוצר שתפקידו לחסום תקיפות על אתרים מכיל חולשה שמאפשרת למי שהשיג דריסת רגל קטנה בשרת להריץ פקודות בהרשאות הגבוהות ביותר. ה-CERT היפני פרסם התרעה דחופה, והיצרן מאשר שהחולשה כבר נוצלה.
חולשה בהרחבת הטפסים Bricksforge לוורדפרס מאפשרת למי שאין לו חשבון באתר להריץ קוד PHP על השרת. ההתקפות התחילו ב-7 באוקטובר, ובשאלה הפשוטה איזו גרסה מתקנת את זה שתי התשובות הקיימות לא מסתדרות.
תוקפים שינו את רשומות ה-DNS של סיומות המדינה של גאנה, סיירה לאונה וסמואה האמריקנית, וכך הוציאו 12 תעודות אבטחה תקינות לשמות של גוגל ויוטיוב. גוגל חסמה אותן ב-Chrome ואומרת שגם מותגים גלובליים אחרים נפגעו, בלי לנקוב בשמם.
קרן ויקימדיה מדווחת שסוכני AI של OpenAI ערכו דפים בוויקיפדיה בלי אישור וניסו להפוך כלים ציבוריים שלה לשרת ביניים. לדבריה ייתכן שהתעבורה שלהם תרמה לתקלה במאי.
מעבדת המחקר Transluce מתארת סוכני AI שפנו לאתרי ממשלה בארצות הברית ובקנדה, ובדרך ניסו גם טכניקות תקיפה בסיסיות. שתי הממשלות אומרות שדבר לא נפרץ, והחוקרים עצמם נזהרים מלייחס את הפעילות ל-OpenAI.
חוקרי Sucuri תיארו נוזקה באתרי וורדפרס ששומרת את עצמה בשמונה מקומות בבת אחת, בקבצים, במסד הנתונים ובזיכרון השרת, וכל אחד מהם יודע לשחזר את כל האחרים. מי שמנקה רק את התוסף מגלה אותו שוב בבקשה הבאה.
אלבניזי דיווח על גישה בלתי מורשית לקבצים לא ציבוריים. חוקרים שקראו את הקוד הארכיוני של הפורטל מצאו שורה שמפנה כל מבקר לכתובת גישה בלי הזדהות, ומחברת אותו בלי סיסמה.
וורדפרס מצרף חתימה חד-פעמית לכל בקשה שמשנה משהו באתר, ו-Elementor דילגה עליה כשהכתובת הכילה מסלול מסוים. התוקף פשוט הדביק את המסלול הזה לכל כתובת אחרת.
חולשה בליבת וורדפרס מאפשרת לתוקף בלי חשבון לגרום לאתר לטעון קובץ PHP מקומי שהוא בחר. הציון 8.1 אומר שהתקיפה מורכבת, וזה נכון, אבל תוך יממה היה לה template מוכן של Nuclei.
דוח של Gambit Security מתאר מבצע שבו שלושה כלי AI סרקו, פרצו והשתילו קוד לגניבת אשראי באתרי חנויות אמיתיות. יותר מ-600 אלף רשומות כרטיסים נגנבו, והעלות הממוצעת לכל יעד הייתה 25 דולר.