כל הכתבות של CyberNow בנושא ניהול פגיעויות — 48 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 3 מתוך 5.
ב-18 בספטמבר הוסיפה CISA שלוש חולשות בגרעין לינוקס לקטלוג החולשות המנוצלות בפועל, וקבעה לגופים הפדרליים שלושה ימים לסגור אותן. שתיים מהן תוקנו עוד ב-2025, ולאחת מהן שלושה ציוני CVSS שונים משלושה גופים.
Traefik מתייחס ל-X-Auth-User ול-X.Auth.User כשני header-ים נפרדים, בעוד שרתי PHP, CGI ו-NGINX שמאחוריו מכווצים את שניהם לאותו משתנה. התוצאה היא שתוקף יכול להגניב זהות משלו לצד זו שה-proxy קבע.
תוכנת התמיכה מרחוק ScreenConnect לא אכפה הרשאות בכיוון מהמחשב הנתמך אל מי שמתחבר אליו כדי לעזור. כך התפשטה תולעת בין שלושה ארגונים שאינם קשורים זה לזה, וכך הגיעה החולשה לרשימת החולשות המנוצלות בפועל של CISA.
חולשה ב-FortiOS פורסמה בינואר עם שני ציונים סותרים, 8.1 מפורטינט ו-9.8 מ-NVD. בספטמבר היא נכנסה לרשימת ה-KEV של CISA, אחרי שחוקרי SOCRadar מצאו קמפיין שמתקין על הפיירוול הפרוץ כלי שליטה מרחוק שנכתב במיוחד עבורו.
ב-8 בספטמבר פרסמה Microsoft את חבילת העדכונים הגדולה שלה אי פעם. שתי החולשות היחידות שכבר מנוצלות בשטח אינן מדורגות קריטי, ובין שתיהן הן מכסות כמעט כל מחשב Windows שיש לכם.
אדובי פרסמה תיקון חירום לחנויות Magento יום לפני עדכון האבטחה המתוכנן שלה, אחרי שלושה ימים שבהם החולשה נוצלה בלי שהיה לה מספר או תיקון. הציון שהיא קיבלה, 10 מלא, נשען על ההבדל שבין נזק שנשאר בתוך רכיב אחד לנזק שיוצא ממנו.
N-able הוציאה ב-6 בספטמבר את תיקון החירום הרביעי ל-N-central מאז תחילת אוגוסט, הפעם על חולשה בציון 10 שמאפשרת הרצת קוד על שרת הניהול בלי אימות. השרת הזה מנהל את המחשבים של כל הלקוחות, וההודעות של החברה עצמה סותרות זו את זו בשאלה אם החולשה כבר נוצלה.
CVE-2026-85394 מאפשרת למי שמכיר את המפתח הציבורי של השירות לזייף token של JWT ולהתחזות לכל משתמש. בדיוק את זה תיקון קודם היה אמור לחסום, ושלושה חודשים אחרי הדיווח עוד אין גרסה שסוגרת את הפרצה.
חוקרי Wiz שהריצו מלכודת דבש על תשתיות AI מדווחים שתוקפים משרשרים שתי חולשות: אחת ב-Starlette שמבלבלת את בדיקת ההרשאות, ואחת ב-LiteLLM שמריצה פקודות. כל אחת לבדה נראית בינונית. ביחד הן הרצת קוד בלי שום פרטי אימות.
מלכודות דבש שהוצבו במאי קלטו ב-30 באוגוסט ניסיון ניצול תקף נגד Switchvox של Sangoma, שישה שבועות אחרי שהטלאי כבר היה זמין. החולשה בציון 9.3 היא SQL Injection ללא אימות, אבל השאילתה רצה בהרשאות superuser של PostgreSQL, וזה מה שהופך אותה להרצת קוד על השרת.