כל הכתבות של CyberNow בנושא מדריך — 90 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 4 מתוך 9.
ב-17 וב-18 בספטמבר פרסמה NVD 34 רשומות CVE נגד vm2, הספרייה שמריצה קוד JavaScript לא מהימן בתוך תהליך Node.js. שתים עשרה מהן קיבלו את הציון המרבי, אבל הגרסאות שסוגרות אותן עלו ל-npm עוד בתחילת החודש.
ב-18 בספטמבר הוסיפה CISA שלוש חולשות בגרעין לינוקס לקטלוג החולשות המנוצלות בפועל, וקבעה לגופים הפדרליים שלושה ימים לסגור אותן. שתיים מהן תוקנו עוד ב-2025, ולאחת מהן שלושה ציוני CVSS שונים משלושה גופים.
השורה שמופיעה בראש כל צ'אט בוואטסאפ מבטיחה פחות ממה שנדמה. היא נועלת את ההודעה לאורך כל הדרך, אבל את מי שכבר יושב באחד הקצוות היא לא מזהה בכלל.
Google תיקנה חולשה במודם הסלולרי של Pixel וציינה שיש אינדיקציות לניצול מוגבל וממוקד. יום אחריה צירפה CISA את החולשה לקטלוג המנוצלות עם מועד יעד של שלושה ימים. הציון 8.8, ותוקף לא צריך שהקורבן יעשה דבר.
Traefik מתייחס ל-X-Auth-User ול-X.Auth.User כשני header-ים נפרדים, בעוד שרתי PHP, CGI ו-NGINX שמאחוריו מכווצים את שניהם לאותו משתנה. התוצאה היא שתוקף יכול להגניב זהות משלו לצד זו שה-proxy קבע.
ההרשאה שאישרתם פעם אחת בהתקנה ממשיכה לעבוד ברקע גם שנה אחר כך, ואף אחד לא בודק מחדש מה האפליקציה עושה איתה. מה מסתתר מאחורי החלון הקטן שמבקש "לאפשר", ואיך עוברים עליו בלי למחוק חצי טלפון.
אחרי כל דליפה חוזר המשפט "הפרטים הוצעו למכירה ברשת האפלה", ורוב האנשים לא באמת יודעים על מה מדובר. הנה שלוש השכבות של האינטרנט, ולמה הצעד הנכון הוא בדיוק לא ללכת לחפש שם.
passkey הוא מפתח שנוצר אצלכם במכשיר ולא נשלח לאתר אף פעם, כך שאין ממנו מה לגנוב בדליפה ואין מה להקליד בעמוד מתחזה. מה שהתוקפים כן מנסים היום הוא לשכנע אתכם לרשום לחשבון מפתח נוסף, שלהם.
תוכנת התמיכה מרחוק ScreenConnect לא אכפה הרשאות בכיוון מהמחשב הנתמך אל מי שמתחבר אליו כדי לעזור. כך התפשטה תולעת בין שלושה ארגונים שאינם קשורים זה לזה, וכך הגיעה החולשה לרשימת החולשות המנוצלות בפועל של CISA.
VPN מעביר את הגלישה שלכם דרך שרת של חברה אחרת ומסתיר מבעל הרשת לאן פניתם. הוא לא הופך אתכם לאנונימיים, והוא לא יעצור הונאה, נוזקה או דליפה אצל חברה שמסרתם לה פרטים.