כל הכתבות של CyberNow בנושא עדכוני אבטחה — 85 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 6 מתוך 9.
חוקרי Manifold Security מצאו שסוכני קוד כמו Claude Code, Codex ו-Grok Build מריצים פקודת git באתחול בלי לנקות את הגדרות המאגר, ומאגר עוין יכול להגדיר שם פקודה משלו. ארבעה מהממצאים עדיין לא תוקנו.
תוקף מהאינטרנט, בלי שם משתמש ובלי סיסמה, מגיע לפונקציות פנימיות במכשיר SMA1000 ומשם מריץ עליו פקודות. SonicWall מאשרת ניצול פעיל, CISA נתנה לגופים הפדרליים עד 5 בספטמבר לתקן, ו-Shadowserver סופר יותר מ-400 מכשירים כאלה גלויים ברשת.
חולשה בציון 9.8 במוצר הדגל של JFrog הישראלית מאפשרת למי שמגיע לשרת דרך הרשת להנפיק לעצמו token של מנהל, בלי שם משתמש ובלי סיסמה. התיקון יצא ב-28 באוגוסט, וב-1 בספטמבר כבר נצפו ניסיונות ניצול בשטח.
בין 28 ל-30 באוגוסט הכריזה רשת זרה על טווח כתובות של Softaculous כאילו הוא שלה ומשכה אליה את התעבורה. שרתים שבדקו באותן שעות אם יצא עדכון ל-Virtualizor קיבלו חבילה זדונית, והתוקף אפילו הצליח להוציא תעודות TLS תקינות לדומיינים.
אחרי עדכון אחרון של Defender, מחשבי ווינדוס מציגים בהפעלה הודעה שהאנטי-וירוס כבוי ומציעים ללחוץ כדי להפעיל אותו. מיקרוסופט אישרה שההודעה שגויה, שההגנה פועלת כרגיל, ושהיא חוזרת גם אחרי שמכבים התראות.
החולשה בתוסף שגובה תרומות עבור יותר מ-100 אלף אתרי וורדפרס מאפשרת לתוקף בלי חשבון להריץ קוד על השרת. הגרסה המתוקנת יצאה ב-27 באוגוסט, ומי שמנהל אתר כזה צריך לבדוק היום איזו גרסה מותקנת אצלו.
PaperCut מודה בתקיפות פעילות נגד שרתי NG ו-MF, וחוקרי Huntress שחזרו את שרשרת ההרצה המלאה: בדיקת הרשאות שמסתכלת על הדף הלא נכון, ואחריה טעינת מחלקת Java שרירותית דרך הגדרות מסד הנתונים. הטלאי הראשון נעקף, והשני יצא יממה אחריו.
צוות Next.js הקדים ביום את עדכון האבטחה של אוגוסט, אחרי שהתגלתה חולשה קריטית שנייה, והפעם בספריית C שהמסגרת לא כותבת ולא מתחזקת. התיקון בענפים 15 ו-16 היה לכבות את פורמט AVIF לגמרי.
יוביקוויטי תיקנה שלוש חולשות שקיבלו 10 מתוך 10, אחת מהן במערכת שמנהלת את מצלמות האבטחה ומאפשרת השתלטות מרחוק בלי שום חשבון. חברת Censys סופרת יותר מ-100 אלף מערכות UniFi שנגישות מהרשת הפתוחה.
שרשרת של שש בעיות בתבנית Avada ובתוסף Fusion Builder אפשרה לתוקף בלי חשבון ובלי סיסמה לשתול קובץ PHP בשרת של האתר ולהריץ אותו. התיקון פורסם אתמול, ומיליון אתרים ומעלה צריכים אותו.