כל הכתבות של CyberNow בנושא חולשות — 147 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 6 מתוך 15.
חברת המחקר watchTowr מסרה ב-26 בספטמבר ששתי חולשות הרצת קוד מרחוק ב-NetScaler מנוצלות בטבע בלי שקיים להן תיקון, ושהן צצו בחקירות פורנזיות. אין מספרי CVE, אין סימני זיהוי ואין הודעה מהיצרן. מה שכן יש הוא מחקר קודם שמראה בדיוק איך נראית הדרך פנימה.
וורדפרס מצרף חתימה חד-פעמית לכל בקשה שמשנה משהו באתר, ו-Elementor דילגה עליה כשהכתובת הכילה מסלול מסוים. התוקף פשוט הדביק את המסלול הזה לכל כתובת אחרת.
ההודעה לא כללה מספר CVE, תיקון חדש או פרטים טכניים, רק בקשה להשבית את מערכת העברת הקבצים בחלון של שש שעות בשבת. החברה נקראה בעבר Accellion, ומי שזוכר את גל הדליפות שבא אחרי הפריצה למוצר שלה מבין למה היא לא מהמרת.
חוקר ב-Accomplish גילה ששרתי ה-Containers של Cloudflare מסרו בלוקים של דיסק ממכולה שנמחקה למכולה הבאה בלי לנקות אותם. בבלוקים נמצאו מבני ספריות, דפי מסד נתונים וקבצי SQLite שלמים של לקוחות אחרים, על 20 מתוך 22 שרתים בארבע יבשות.
CERT Polska פרסמה את הניתוח המלא של MikroTrick, שרשרת של שתי חולשות בשרת ה-SSH של RouterOS שנותנת גישה מלאה לקונסולת הניהול בלי סיסמה ובלי מפתח. הלוגים הציבוריים הראשונים מתוארכים ליום לפני שהטלאי יצא, והניתוח הפומבי הראשון שלו פורסם פחות מיממה אחריו.
צ'ק פוינט אישרה שחולשות בשרתי הניהול שלה מנוצלות בתקיפות, ובאותו שבוע סוכני AI הופיעו גם כתוקפים וגם כקורבנות. כל מה שקרה בין 18 ל-25 בספטמבר, ומה כדאי לעשות עכשיו.
רסמוס מורטס שרשר שתי חולשות בתוכנה של OnePlus והגיע להרשאות root ב-OnePlus 15 עם הגרסה העדכנית של OxygenOS. החברה אישרה אותן במאי, ביקשה שלא יפרסם, ועד היום לא הוציאה תיקון או מספר CVE.
המרכז הקנדי לאבטחת סייבר עדכן שחולשה בתוסף פנימי של Roundcube, ממשק הדואר שמגיע מותקן מראש עם cPanel, מנוצלת בשטח. היא פועלת עוד לפני ההתחברות, ואת העדכון יכולה להתקין רק חברת האחסון.
חוקר אבטחה פרסם ב-GitHub כלי שמזהה מתי Microsoft Defender מתחיל להוריד עדכון וממלא את השטח הפנוי בדיסק בדיוק ברגע הזה, כך שההורדה נכשלת. תיקון אין, והבדיקה אם ההגנה שלכם מעודכנת לוקחת חצי דקה.
החולשה יושבת ברכיב שמחלק כתובות למכשירים ברשת הביתית, היא קיבלה את הציון הגבוה ביותר שיש, וד-לינק עדיין עובדת על תיקון. עד שיגיע, ההמלצה שלה היא לוודא שממשק הניהול של הנתב אינו נגיש מהאינטרנט.