חולשה בתוסף של Roundcube מנוצלת בפועל: בדקו את מערכת הדואר שלכם
מרכז הסייבר הקנדי עדכן שחולשת הזרקת SQL בתוסף virtuser_query של Roundcube, שתוקנה כבר במאי, מנוצלת בידי תוקפים. מי שלא עדכן, או שספק האחסון שלו לא עדכן, חשוף.
CYBER WATCH
67כתבות
סייבר ואבטחה
פריצות, דליפות מידע, חולשות קריטיות ואיך שומרים על העסק והחשבונות שלכם.
הרגולטור האירי קנס את Google ב-403 מיליון יורו על הטיפול בנתוני מיקום של משתמשים
רשות הגנת המידע של אירלנד קבעה ש-Google הפרה את ה-GDPR בשלוש הגדרות שאוספות מיקום, ונתנה לה שישה חודשים לתקן. Google טוענת שמדובר במדיניות ישנה שכבר שונתה.
Click2Shell: קישור אחד למנהל אתר WordPress הספיק כדי להתקין תבנית ולהריץ קוד
WordPress 7.1.1, שיצאה ב-17 בספטמבר, סגרה 11 חולשות. אחת מהן, Click2Shell, אפשרה לגרום למנהל מחובר להתקין תבנית בלי לדעת, ובשילוב עם תבנית פגיעה להריץ קוד PHP על השרת.
Brevo נפרצה: הסקריפטים שלה הפיצו נוזקה לאתרי לקוחות וניסו להתקין תוסף זדוני ב-WordPress
ב-14 בספטמבר הזריק תוקף קוד זדוני לסקריפטים של Brevo שמוטמעים ביותר מ-100 אלף אתרים, לפי Sansec. גולשים קיבלו מסך ClickFix, ומנהלי WordPress מחוברים היו בסכנה להתקנת דלת אחורית.
פרצה בתוסף הגיבוי של Acronis ל-cPanel ול-Plesk נוצלה בתקיפות: כך בודקים את השרת
Acronis הזהירה באמצע ספטמבר שחולשה בתוסף הגיבוי שלה לשרתי אחסון מנוצלת בתקיפות ממוקדות. משתמש עם הרשאות נמוכות יכול להפוך ל-root, וזה מסוכן במיוחד באחסון משותף.
Google תיקנה במכשירי Pixel חולשה במודם הסלולרי שכנראה כבר נוצלה בתקיפות ממוקדות
עדכון האבטחה של Pixel לספטמבר 2026, שפורסם ב-15 בספטמבר, סוגר את CVE-2026-58704 במודם. לפי Google יש סימנים לניצול מוגבל וממוקד. כך בודקים שהטלפון מעודכן.
אזהרה משותפת של בריטניה, ה-FBI והולנד: ריגול איראני מתחזה ל-Norton, ל-KeePass ול-Telegram
ב-15 בספטמבר פרסמו שלוש סוכנויות מערביות אזהרה על רוגלה איראנית שמגיעה כהתקנה מזויפת של תוכנות מוכרות, אחרי שיחה בוואטסאפ או בטלגרם עם ״תמיכה טכנית״ או מכר.
מייל אחד מספיק: פרצת יום אפס בשער הדואר של Cisco מאפשרת השתלטות ברמת root
Cisco אישרה ב-14 בספטמבר ניצול פעיל של CVE-2026-76461 ב-Secure Email Gateway. תוקף שולח הודעה מעוצבת ומריץ פקודות על המכשיר, בלי סיסמה ובלי שאף אחד יפתח את המייל.
החשבון המאומת של HBO Max ב-Reddit נפרץ והריץ 108 מודעות שהפיצו נוזקות לגניבת סיסמאות
במשך כ-48 שעות פרסם החשבון הרשמי של HBO Max ב-Reddit מודעות לאפליקציות מזויפות, שהובילו לאתרים שביקשו מהגולשים להדביק פקודה במחשב. כך עובדת שיטת ClickFix, ומה עסקים צריכים ללמוד.
Revolut מסרה דרכונים וסלפי של לקוחות למתחזה שפנה מכתובת מייל ממשלתית אמיתית
אפליקציית הבנקאות אישרה שנענתה לבקשות מידע מזויפות שנשלחו מדומיין לגיטימי של רשות ממשלתית. נמסרו מסמכי זהות, תמונות אימות והיסטוריית עסקאות. הכסף לא נפגע, אבל הסכנה עוברת להונאות ההמשך.
סוכני AI פרצו ל-440 שרתי הדפסה של PaperCut ב-48 מדינות, לפי GreyNoise
תוקף דובר רוסית הפעיל מאות סוכני AI שניצלו שתי חולשות בתוכנת ניהול ההדפסות PaperCut. בתוך שלושה ימים נפרצו 395 ארגונים, רובם מוסדות חינוך, וב-12 מהם הושגה שליטה מלאה ברשת.
Check Point חשפה שתי חולשות קריטיות ב-VPN שמאפשרות להשתלט על שערי אבטחה
החולשות, בציון 9.8, מאפשרות לתוקף מרוחק להריץ קוד על שערי Check Point ועל חומות האש של Spark עוד לפני הזדהות. התיקון זמין דרך LivePatch ו-Jumbo Hotfix, וגרסאות ישנות נשארות בלי תיקון.