כל הכתבות של CyberNow בנושא CVSS — 60 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 3 מתוך 6.
GreyNoise תיעדה ניצול בפועל של חולשה בת שלושה חודשים במתגי Zyxel GS1900, ומצאה שהתוקף חילץ תצורות ופרטי אימות מ-996 מתגים בעשרות מדינות. ציון ה-CVSS של החולשה, 8.8, בנוי על ההנחה שממשק הניהול של המתג נגיש רק מהרשת המקומית.
תוקף שעונה לחיבור TLS 1.3 של לקוח Erlang/OTP יכול לצרף לתשובה שלו הרחבה שהלקוח מעולם לא ביקש, והלקוח מדלג על כל בדיקות התעודה: אימות השרשרת, שם המתחם, CRL ו-OCSP. החולשה CVE-2026-89422 בציון 9.3 קיימת מ-OTP 22.2, ושלוש חבילות תיקון יצאו ב-22 בספטמבר 2026.
ב-17 וב-18 בספטמבר פרסמה NVD 34 רשומות CVE נגד vm2, הספרייה שמריצה קוד JavaScript לא מהימן בתוך תהליך Node.js. שתים עשרה מהן קיבלו את הציון המרבי, אבל הגרסאות שסוגרות אותן עלו ל-npm עוד בתחילת החודש.
ב-18 בספטמבר הוסיפה CISA שלוש חולשות בגרעין לינוקס לקטלוג החולשות המנוצלות בפועל, וקבעה לגופים הפדרליים שלושה ימים לסגור אותן. שתיים מהן תוקנו עוד ב-2025, ולאחת מהן שלושה ציוני CVSS שונים משלושה גופים.
Google תיקנה חולשה במודם הסלולרי של Pixel וציינה שיש אינדיקציות לניצול מוגבל וממוקד. יום אחריה צירפה CISA את החולשה לקטלוג המנוצלות עם מועד יעד של שלושה ימים. הציון 8.8, ותוקף לא צריך שהקורבן יעשה דבר.
Traefik מתייחס ל-X-Auth-User ול-X.Auth.User כשני header-ים נפרדים, בעוד שרתי PHP, CGI ו-NGINX שמאחוריו מכווצים את שניהם לאותו משתנה. התוצאה היא שתוקף יכול להגניב זהות משלו לצד זו שה-proxy קבע.
תוכנת התמיכה מרחוק ScreenConnect לא אכפה הרשאות בכיוון מהמחשב הנתמך אל מי שמתחבר אליו כדי לעזור. כך התפשטה תולעת בין שלושה ארגונים שאינם קשורים זה לזה, וכך הגיעה החולשה לרשימת החולשות המנוצלות בפועל של CISA.
חולשה ב-FortiOS פורסמה בינואר עם שני ציונים סותרים, 8.1 מפורטינט ו-9.8 מ-NVD. בספטמבר היא נכנסה לרשימת ה-KEV של CISA, אחרי שחוקרי SOCRadar מצאו קמפיין שמתקין על הפיירוול הפרוץ כלי שליטה מרחוק שנכתב במיוחד עבורו.
ב-8 בספטמבר פרסמה Microsoft את חבילת העדכונים הגדולה שלה אי פעם. שתי החולשות היחידות שכבר מנוצלות בשטח אינן מדורגות קריטי, ובין שתיהן הן מכסות כמעט כל מחשב Windows שיש לכם.
אדובי פרסמה תיקון חירום לחנויות Magento יום לפני עדכון האבטחה המתוכנן שלה, אחרי שלושה ימים שבהם החולשה נוצלה בלי שהיה לה מספר או תיקון. הציון שהיא קיבלה, 10 מלא, נשען על ההבדל שבין נזק שנשאר בתוך רכיב אחד לנזק שיוצא ממנו.