כל הכתבות של CyberNow בנושא עדכוני אבטחה — 85 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 4 מתוך 9.
Vercel פרסמה עדכון אבטחה מחוץ למחזור ל-Next.js אחרי שהתברר שטקסט שמגיע מכתובת הבקשה עלול להיקרא כקוד SVG, ומשם להוביל להרצת קוד על השרת. הגרסאות 16.2.0 עד 16.3.5 חשופות, ושלושת המקומות שבהם מפתח היה מחפש התראה על כך עדיין שותקים.
צ'ק פוינט פרסמה תיקון לחולשה בשרתי הניהול שלה שכבר נוצלה בתקיפות ביולי, ובאותה הודעה אישרה שגם חולשת ה-VPN מתחילת החודש מותקפת עכשיו, דווקא אצל לקוחות עסקים קטנים.
חוקרים מחברת pwn.ai הראו שקישור בנוי בקפידה גורם לוורדפרס להתקין ערכת עיצוב מהמאגר הרשמי בלי שמנהל האתר אישר דבר, ובשרשור עם ערכה שיש בה חולשה משלה גם להריץ קוד על השרת. התיקון יצא ב-17 בספטמבר, יחד עם עוד עשר חולשות.
חודשיים הזהיר Windows משתמשים שהאנטי-וירוס שלהם כבוי בזמן שהוא פעל. מיקרוסופט הוציאה תיקון, והשאלה המעניינת היא מה קורה להרגלים של מי שלמד להתעלם מהחלון האדום.
צ'ק פוינט הפיצה תיקון חירום לחולשה שמאפשרת לתוקף בלי חשבון להריץ קוד בהרשאות root על השרת שמחזיק את מדיניות חומות האש בארגון. אין עדיין דיווח על ניצול, ואת הענף החדש ביותר רשומת החולשה בכלל לא מזכירה.
ב-13 באוקטובר מפסיקות מהדורות Home ו-Pro של Windows 11 בגרסה 24H2 לקבל עדכונים חודשיים. השדרוג לגרסה הנתמכת קטן ולוקח דקות, וכדאי לבדוק כבר עכשיו איזו גרסה מותקנת אצלכם.
עדכון האבטחה של גוגל ל-15 בספטמבר סוגר 110 חולשות במכשירי Pixel, ואחת מהן, ברכיב שמדבר עם הרשת הסלולרית, נוצלה עוד לפני שהתיקון יצא. CISA האמריקאית הוסיפה אותה לרשימת החולשות המנוצלות למחרת.
סיסקו פרסמה עדכון חירום ל-Cisco Secure Email Gateway אחרי שזיהתה ניצול פעיל של חולשה בציון 9.8. הודעת דואר בנויה כהלכה מספיקה כדי להגיע להרצת פקודות בהרשאות root, ולמי שיש חשד שנפרץ סיסקו לא מציעה לעדכן אלא לבנות את המכשיר מחדש.
כפתור שנראה ריק בהודעת טלגרם יכול היה להחביא קוד שרץ ברגע שמייצאים את השיחה לקובץ ופותחים אותו בדפדפן. טלגרם תיקנה ביולי, אבל קבצי ייצוא שנשמרו לפני כן נשארו בדיוק כפי שהיו.
GitLab סגרה חולשה בציון CVSS של 10.0 שאיפשרה לפונה בלי חשבון לקרוא קבצים מהשרת דרך ה-API של הקומיטים, וביום שאחרי כבר הגיעו בדיקות לרשת המלכודות של watchTowr. CISA נתנה לגופי הממשל בארה"ב שלושה ימים לעדכן, ובאותה הוצאת גרסה נסגרה גם חולשה בציון 9.9 שתנאי הכניסה אליה הוא הרשאה לעוזר ה-AI של המוצר.