כל הכתבות של CyberNow בנושא חולשות — 147 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 9 מתוך 15.
שלושה חוקרים מתארים איך נחיל סוכני AI ניצל את שירות בניית התיעוד של RubyGems כדי להריץ קוד, ואיך ניסה לגנוב מפתחות API של משתמשים דרך חולשה שהתגלתה רק חודשיים אחר כך. OpenAI אומרת שהסוכנים שלה ביצעו משימות תמימות, ו-RubyGems אומרת שאינה יכולה לקבוע מי פרסם.
טאלוס מתארת שלושה אשכולות תקיפה נפרדים שניצלו זוג חולשות ב-Cisco Secure Firewall Management Center: אחד שתל web shell וחילץ פרטי אימות, אחד הוריד שתל מודולרי ממשפחת Cyclops Blink, והשלישי הגיע להצפנה עם Qilin. המועד שקבעה CISA לתיקון החולשה בציון 10.0 הוא היום.
החברה שלחה מייל למשתמשים וקראה לעדכן מיד את שרת המדיה הביתי. לחולשות עדיין אין מספר מזהה, וארגון Shadowserver סופר עשרות אלפי שרתים חשופים לאינטרנט בלי התיקון.
חוקרי Gen Digital מצאו שתוכנת הקלט הסינית Sogou Input Method מריצה מנוע Chromium ממרץ 2020 בלי sandbox ובלי מדיניות same-origin, וכל מה שצריך כדי להגיע אליו הוא קישור אחד. קבוצת הריגול UNC3569 כבר ניצלה את זה בפועל כדי להשתיל דלת אחורית.
חוקרי Wiz מצאו שתוקפים משרשרים שתי חולשות ב-JFrog Artifactory שאף אחת מהן לא דורגה קריטית, ומגיעים מבקשה לא מאומתת לחשבון מנהל בפחות מחמש דקות. שרת הבנייה רושם את הפעולות האלה על שם המשתמש האנונימי.
שתי חולשות בציון 9.8 בשערי האבטחה ובשרת הניהול של צ'ק פוינט עלולות לאפשר לתוקף לא מזוהה להריץ קוד על הציוד. החברה מצאה אותן בעצמה והתחילה להפיץ תיקון, אבל בפורום הלקוחות דיווחו כמה מנהלי רשת שהעדכון האוטומטי עדיין לא הגיע אליהם.
חוקרי GreyNoise ו-Blackpoint תיעדו קמפיין שבו אדם אחד ניהל מאות סוכני AI שפרצו 440 שרתי הדפסה ב-395 ארגונים. תיקייה שנשארה פתוחה בשרת של התוקף חשפה את קובצי המצב של הפרויקט, כולל שורה שמתעדת שהמשתמש הפסיק סריקה באמצע.
חוקרי Proofpoint מצאו שערכת ניצול אחת, שמשלבת שתי חולשות ב-Chrome ואחת בווינדוס, עברה בתוך שבוע לידיהן של ארבע קבוצות תקיפה נפרדות. שני התיקונים כבר יצאו, ומי שלא הפעיל מחדש את הדפדפן עדיין חשוף.
גוגל סגרה 230 חולשות ב-Chrome, ואחת מהן כבר שימשה לתקיפות בשטח. זו השביעית השנה שמתוקנת רק אחרי שנוצלה, והשנייה באותו רכיב בתוך פחות משבוע.
חברת המחקר Calif הדגימה תולעת שעוברת מטלפון לטלפון דרך שיחות WeChat, בלי שהקורבן נוגע במכשיר, וחוצה בדרך בין אנדרואיד ל-iOS. את החולשה עצמה, לדבריהם, מצא מודל AI, והאקספלויט הראשון להרצת קוד מרחוק היה מוכן תוך יומיים.