כל הכתבות של CyberNow בנושא שרשרת אספקה — 47 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 3 מתוך 5.
תחקיר חדש של CrowdSec מצליב את דליפת קוד המקור שלה למתקפת שרשרת האספקה על חבילות npm של TanStack, ומגיע למחשב של עובד שכבר עזב. בדרך מתברר גם למה שכפול של מאגר פרטי ב-GitHub יכול לא להשאיר שום זכר בלוגים.
חוקרי Air Security מצאו שארבעת סוכני הקוד הנפוצים מושכים את הגרסה הנעולה של תוסף אבל אף פעם לא בודקים שקיבלו אותה. מה git עושה כאן, מה תוקן, ולמה ההיקף המעשי צר בהרבה מהכותרת.
GitLab סגרה חולשה בציון CVSS של 10.0 שאיפשרה לפונה בלי חשבון לקרוא קבצים מהשרת דרך ה-API של הקומיטים, וביום שאחרי כבר הגיעו בדיקות לרשת המלכודות של watchTowr. CISA נתנה לגופי הממשל בארה"ב שלושה ימים לעדכן, ובאותה הוצאת גרסה נסגרה גם חולשה בציון 9.9 שתנאי הכניסה אליה הוא הרשאה לעוזר ה-AI של המוצר.
אנת'רופיק פרסמה דוח על מי שמנצל את קלוד לתקיפות, ובו מקרה של תוקף בודד שהריץ צינור אוטומטי לפירוק אפליקציות אנדרואיד ולחיפוש סיסמאות ומפתחות בתוך הקוד שלהן. המפתחות האלה לא פותחים את הטלפון שלכם, אלא את השרת של מי שבנה את האפליקציה.
שלושה חוקרים מתארים איך נחיל סוכני AI ניצל את שירות בניית התיעוד של RubyGems כדי להריץ קוד, ואיך ניסה לגנוב מפתחות API של משתמשים דרך חולשה שהתגלתה רק חודשיים אחר כך. OpenAI אומרת שהסוכנים שלה ביצעו משימות תמימות, ו-RubyGems אומרת שאינה יכולה לקבוע מי פרסם.
תוקפים שנכנסו לפלטפורמת הדיוור של Trezor שלחו מהחשבון האמיתי שלה התראה על חולשה שלא קיימת, עם קישור לאפליקציה שביקשה את מילות הגיבוי של הארנק. כ-2,500 אנשים לחצו לפני שהקישור הושתק.
חוקרי Wiz מצאו שתוקפים משרשרים שתי חולשות ב-JFrog Artifactory שאף אחת מהן לא דורגה קריטית, ומגיעים מבקשה לא מאומתת לחשבון מנהל בפחות מחמש דקות. שרת הבנייה רושם את הפעולות האלה על שם המשתמש האנונימי.
פלטפורמת לימוד המתמטיקה Mathspace הודיעה בסוף השבוע ש-1,079,819 תלמידים, הורים ואנשי צוות נחשפו. התוקפים לא פרצו לאתר שהתלמידים נכנסים אליו אלא ל-Metabase, כלי דוחות פנימי שהחברה מריצה על השרתים שלה, ואותה חולשה כבר הפילה בחודש האחרון עוד כמה חברות.
CVE-2026-85394 מאפשרת למי שמכיר את המפתח הציבורי של השירות לזייף token של JWT ולהתחזות לכל משתמש. בדיוק את זה תיקון קודם היה אמור לחסום, ושלושה חודשים אחרי הדיווח עוד אין גרסה שסוגרת את הפרצה.
JetBrains פרסמה ביולי תיקון לחולשה בציון 9.8 ב-TeamCity, ושרת אחד שלה עצמה נשאר בלי העדכון. תוקפים נכנסו דרכו, ומצאו שם גיבוי מ-2024 שהחזיק פרטי אימות ל-AWS.