כל הכתבות של CyberNow בנושא שרשרת אספקה — 47 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 2 מתוך 5.
ב-8 באוקטובר נדחף workflow בשם "Security Audit" ל-345 מאגרי GitHub בשני גלים אוטומטיים, דרך חשבונות של שני מתחזקים שנפרצו. הגרסה החדשה של המטען לא מסתפקת ב-secrets שמוגדרים במאגר, היא סורקת את כל היסטוריית ה-git אחרי מפתחות ענן ו-AI.
Zscaler ThreatLabz ניתחה את הבינארי של ספק AWS מזויף ל-Terraform, שמריץ קוד ברגע שהוא נטען ומוריד מטען שמותאם למערכת ההפעלה ולארכיטקטורה. שמונה קבצי המטען שבדוח מכסים שלוש מערכות הפעלה ושבע ארכיטקטורות, ומסתירים קובץ הרצה מוצפן בתוך מה שנראה כמו קובץ גופן.
חוקרי Bitdefender מצאו קוד זדוני מוטמע בקושחה של טלפוני אנדרואיד זולים על שבבי MediaTek, באלפי מכשירים ביותר מ-150 מדינות. הוא רץ בהרשאות מערכת, מתקין אפליקציות בשקט, ואיפוס להגדרות היצרן לא מסיר אותו.
גרסה זדונית של חבילת npm פופולרית פורסמה מה-CI של הפרויקט עצמו, עם חתימת מקור תקינה. היא אוספת פרטי אימות מענן, מ-Kubernetes ומכלי פיתוח מבוססי AI, ומשאירה אחריה שירות שמוחק את ספריית הבית אם מבטלים את ה-token שנגנב.
גרסה 4.7.9 של Handlebars יצאה במרץ כדי לתקן חולשה בציון 9.8, ועכשיו היא עצמה בתוך טווח הגרסאות המושפעות של CVE-2026-106446, גם הוא בציון 9.8. הבדיקה שנוספה אז מכסה שלושה סוגי צמתים, והעקיפה עוברת דרך השדות שנשארו בחוץ.
קבוצת מחקר האיומים של GitLab מצאה ב-DeepSeek-Reasonix Studio חולשת הרצת קוד שנפתחת מעצם הצגת השוואה של קובץ, דרך filter driver שהמאגר עצמו מגדיר. הכלי כבר חסם ארבעה מפתחות git מסוכנים, והחמישי הוא היחיד שאי אפשר לחסום ברשימה.
חוקר Unit 42 בנה כלי שמשווה את ההרשאות שרכיבי האוטומציה של Kubernetes מבקשים מול מה שהתיעוד שלהם מבטיח, ומצא שמעט יותר מ-5% מהם מקבלים יותר ממה שהם צריכים. אחד המקרים, בסוכן של IBM Turbonomic, קיבל את CVE-2026-6389 בציון 8.8.
ב-16 בספטמבר שני repositories של GitHub Actions שהושבתו במאי בגלל פריצה חזרו להיות נגישים, בלי שהתגיות הזדוניות שבהם נוקו. כל workflow שמפנה אליהם לפי מספר גרסה התחיל להוריד ולהריץ את המטען מחדש, והתוקף לא היה צריך לעשות כלום.
מפתחות הגישה של אפליקציה חיצונית בשם Ribon נגנבו, ובארבעה ימים נשתל דרכה קוד באתרי חנויות ונשלפו פרטי קונים. BigCommerce מדברת על מספר קטן של חנויות, וחנות אחת שנפגעה מעריכה שההיקף גדול בהרבה.
SentinelLabs איתרה את הדלתות האחוריות מתקיפת LayerZero על מחשב של מהנדס DevOps בחברת שירותי IT בהודו, ארגון בלי שום קשר למסחר בקריפטו. הווקטור: קובץ נעילה של Terraform שמצביע על רישום ספקים מתחזה.