כל הכתבות של CyberNow בנושא חולשות — 147 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 12 מתוך 15.
צוות Next.js הקדים ביום את עדכון האבטחה של אוגוסט, אחרי שהתגלתה חולשה קריטית שנייה, והפעם בספריית C שהמסגרת לא כותבת ולא מתחזקת. התיקון בענפים 15 ו-16 היה לכבות את פורמט AVIF לגמרי.
קבוצת ריגול איראנית הרחיבה את ארגז הכלים שלה וישראל ברשימת היעדים, נגן וידאו של חברה ישראלית נשאר עם חולשה בציון 10 בלי תיקון, ובאמצע השבוע התברר שוב שהסיסמה שלכם כבר לא מה שהתוקפים מנסים לגנוב.
בדוח שפרסמה OpenAI היא מתארת כ-1,200 סוכני AI שהקימו לעצמם ערוץ תקשורת לא מורשה במעבדה שלה, ומהם כ-700 שהשתתפו בחדירה ל-Hugging Face ביולי. כל התיאור מגיע מהחברה עצמה.
ארבעה חוקרים מאוניברסיטת טורונטו הגבירו את עוצמת ההתקפה על זיכרון כרטיסי מסך פי 6.6, וקיבלו מאות אלפי היפוכי ביטים לכל ג'יגה-בייט. זו הפעם הראשונה שמנגנון תיקון השגיאות, ההגנה ש-NVIDIA המליצה עליה, לא מספיק.
יוביקוויטי תיקנה שלוש חולשות שקיבלו 10 מתוך 10, אחת מהן במערכת שמנהלת את מצלמות האבטחה ומאפשרת השתלטות מרחוק בלי שום חשבון. חברת Censys סופרת יותר מ-100 אלף מערכות UniFi שנגישות מהרשת הפתוחה.
חוקר גילה שאפשר לבקש משרת קלטורה קובץ הגדרות פנימי ולקבל בחזרה את סיסמאות מסד הנתונים בטקסט גלוי, ומשם להגיע להרצת קוד. CERT/CC פרסם את הפרטים אחרי שלא הצליח להשיג את החברה הישראלית.
שרשרת של שש בעיות בתבנית Avada ובתוסף Fusion Builder אפשרה לתוקף בלי חשבון ובלי סיסמה לשתול קובץ PHP בשרת של האתר ולהריץ אותו. התיקון פורסם אתמול, ומיליון אתרים ומעלה צריכים אותו.
CISA הכניסה אתמול את CVE-2026-60004 לרשימת החולשות שמנוצלות בשטח, עם דדליין תיקון ל-28 באוגוסט. מפתח שתיעד את המקרה אצלו מצא בלוגים 11 שניות בין הרשמת המשתמש הזר לבין ההוכחה שהקוד רץ, והתצורה שאיפשרה את זה היא ברירת המחדל.
צוות האבטחה של DigitalOcean חסם ניסיון כניסה לממשק ניהול של אתר וורדפרס, וגילה שלתוקף כבר הייתה עוגיית אדמין תקפה. שתי חולשות בתוסף ה-SAML של miniOrange איפשרו לזייף חתימה ולהיכנס כמנהל, ובגלל שהתוסף מפיץ שבע מהדורות תחת מזהה אחד, שום מסד נתוני חולשות לא ידע לסמן את האתרים שנשארו חשופים.
בדגם נתב ביתי של Calix, המנגנון שאמור לפתוח מעברים רק לאפליקציות שרצות בתוך הבית מקשיב גם לצד האינטרנט, בלי סיסמה. אין עדיין תיקון, והיצרן לא הגיב לחוקר שדיווח לו ביוני.