כל הכתבות של CyberNow בנושא CVE — 17 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
ההתראה המשותפת AA26-281A מונה שמונה חולשות שהתוקפים ניצלו בהצלחה, וחמש מהן נכנסו באותו יום לקטלוג ה-KEV. לשתיים מהן אין בכלל ציון CVSS v3 מ-NVD, והנמוכה בציון היא דווקא זו שדורשת חשבון ניהול מראש.
ב-17 וב-18 בספטמבר פרסמה NVD 34 רשומות CVE נגד vm2, הספרייה שמריצה קוד JavaScript לא מהימן בתוך תהליך Node.js. שתים עשרה מהן קיבלו את הציון המרבי, אבל הגרסאות שסוגרות אותן עלו ל-npm עוד בתחילת החודש.
Citrix תיקנה ב-19 באוגוסט חולשה בציון 9.3 שמאפשרת לעקוף אימות בשערי הגישה מרחוק שלה. אחרי שקוד ניצול אמין פורסם ברשת, חיישן של חברת Previdian קלט ב-3 בספטמבר בקשות תואמות משלוש כתובות שונות.
אורקל שחררה את התיקון ל-CVE-2026-21962 ב-20 בינואר 2026. יומיים אחר כך כבר תועד ניסיון הניצול הראשון, ורק ב-24 באוגוסט נכנסה החולשה לרשימת ה-KEV של CISA. מה התווית הזאת אומרת, ומה היא לא.
החולשה קיבלה ציון CVSS צנוע של 5.3, אבל היא כבר ברשימת המנוצלות בפועל של CISA ו-Cisco מדרגת אותה כגבוהה. הסיפור הוא בדיוק הפער: חשבון עם סיסמה קבועה שמוטמעת בכל התקנה של מערכת שמנהלת את כל חומות האש של הארגון.
חולשת CVE-2025-68686 ב-FortiOS קיבלה ציון בינוני של 5.9, אבל CISA כבר סימנה אותה כמנוצלת בפועל. תוקפים עקפו בעזרת לוכסן כפול את התיקון שאמור היה לחסום את שיטת השרידות שלהם ב-FortiGate.
חולשה בציון 10.0 ב-VeloCloud Orchestrator של Arista נותנת לתוקף לא מזוהה שליטה מלאה על שרת הניהול של רשת SD-WAN שלמה, והיא כבר מנוצלת בשטח. נסביר למה זה בדיוק עשר מלא ומה עושים עכשיו.
שתי חולשות בליבת וורדפרס, הזרקת SQL ובלבול נתיבים ב-REST API, משתרשרות יחד לכדי הרצת קוד מרחוק בלי שום אימות. שתיהן כבר מנוצלות בשטח ונכנסו לרשימת ה-KEV של CISA.
תוכנת הכיווץ החינמית שמותקנת על מיליוני מחשבים תוקנה בגרסה 26.02, אחרי שהתגלתה בה חולשה שמאפשרת לתוקף להריץ קוד על המחשב ברגע שפותחים קובץ שהוא הכין. 7-Zip לא מתעדכנת לבד, ולכן העדכון תלוי בכם.
מאחורי הכינוי הפשוט wp2shell מסתתר שרשור מדויק של שני חורים בליבת וורדפרס עצמה: בלבול שקט בנתב ה-REST ו-SQL Injection ותיקה. יחד הם הופכים בקשת HTTP אנונימית אחת להרצת קוד מלאה על השרת.