כל הכתבות של CyberNow בנושא חולשות — 147 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 5 מתוך 15.
חוקר Unit 42 בנה כלי שמשווה את ההרשאות שרכיבי האוטומציה של Kubernetes מבקשים מול מה שהתיעוד שלהם מבטיח, ומצא שמעט יותר מ-5% מהם מקבלים יותר ממה שהם צריכים. אחד המקרים, בסוכן של IBM Turbonomic, קיבל את CVE-2026-6389 בציון 8.8.
צ'ק פוינט פתחה את ספטמבר בתיקון לשתי חולשות בציון 9.8 וסיימה אותו באישור שגם שרתי הניהול וגם שערי ה-VPN שלה מותקפים בפועל. במקביל עברו סוכני AI מהדגמות לניהול מבצעים, ושלוש פריצות נפרדות פגעו ב-Trezor דרך שלושה ספקים שונים.
חולשה בשירות הניהול דרך הדפדפן ב-RouterOS מאפשרת לתוקף לא מזוהה להשתלט על הנתב בבקשת HTTP בודדת. CISA נותנת לה ציון 9.8, MikroTik עצמה טרם פרסמה הודעת אבטחה, וההתראה עצמה מבלבלת לגבי הגרסה שמתקנת.
חמש חולשות תוקנו בגרסה 15.82 של TeamViewer. החמורה שבהן נתנה למי שכבר מחובר אליכם בהרשאה מוגבלת לשנות את ההגדרות שחוסמות אותו ולעשות דברים שסירבתם להם, כולל הרצת קוד. החברה אומרת שאינה מכירה ניצול בפועל.
חוקרי VUSec הראו שמעבדים מודרניים מסנכרנים את הקוד אחרי שינוי בזמן ריצה, אבל לא מנקים את תחזיות הקפיצה הישנות. בתוך מהדר JIT זה מספיק כדי לחלץ את ה-hash של סיסמת root בקצב שמונה בייטים בשנייה, מתוכנית בלי שום הרשאה מיוחדת.
חוקר ב-Cycode הראה ששרת MCP זדוני יכול לגרום ל-SDK הרשמי של Anthropic לשלוח לו את ה-client secret, את קוד ההרשאה ואת מפתח ה-PKCE. עמוד ההתחברות שהמשתמש רואה הוא האמיתי לגמרי, ושלוש שכבות הגנה נפרדות אישרו את אותו נתון מזויף.
עדכון קטן לאייפון, לאייפד ולמק סוגר חולשה ברכיב שמצייר תמונות וקבצים על המסך. אפל מדווחת שהיא מודעת לניצול שלה בתקיפה ממוקדת, ולא מפרטת נגד מי.
שבעה חוקרים מהאוניברסיטה הטכנית של גרץ הראו שמנגנון ההתראות על שינויי קבצים מסגיר הקלדות, אתרים ומדיה בוואטסאפ, בלי גישה לתוכן. לינוקס קיבלה תיקון חלקי, מיקרוסופט ענתה שההתנהגות היא by design.
חוקרים מגראץ הראו שהשירות שמודיע לאפליקציות על שינויי קבצים, ותיק בכל מערכת הפעלה, מדליף מתי הקלדתם, באילו אתרים גלשתם ומתי קיבלתם תמונה בוואטסאפ. לינוקס תוקנה חלקית, לאנדרואיד אין תיקון, ומיקרוסופט אומרת שבווינדוס זאת התנהגות מתוכננת.
חוקרי Mandiant מדווחים על גל תקיפות מחודש נגד שרתי Oracle PeopleSoft. הקבוצה שמאחוריו עקפה את חוקי ה-WAF שחסמו את הרכיב הפגוע בכך שקידדה תו אחד בנתיב הבקשה, ועל עשרות מערכות ברחבי העולם הושתלו web shells ודלת אחורית שהגיעה בתוך מתקין חתום של נגן מדיה.