חוקר אבטחה חשף פרצה ברכיב ה-WPS הוותיק של Broadcom, שמאפשרת לתוקף בטווח הקליטה להריץ קוד על הנתב ולשלוף ממנו את סיסמת הרשת. Broadcom סירבה להנפיק לה CVE, והתיקונים לא מגיעים.
לכתבה המלאהחוקר חשף שקישור מעוצב שנפתח מהדפדפן יכול היה לגרום לטלגרם למחשב לשלוח לתוקף קבצים מהדיסק, כולל קבצי ההתחברות לחשבון. התיקון כבר זמין בגרסה 7.2.9, אבל הוא שוחרר בשקט.
Atlassian הזהירה מחולשה בשמונה ממוצרי ה-Data Center שלה, שמאפשרת לקרוא קבצים מהשרת בלי סיסמה. ניסיונות ניצול נרשמו תוך שעתיים מפרסום מחקר טכני, ובחלק מההתקנות זה מוביל עד הרשאות מנהל.
Fortinet הודיעה ב-1 באוקטובר על חולשה קריטית בשרתי הדואר FortiMail שכבר מנוצלת בתקיפות. עד 5 באוקטובר לא היה תיקון לרוב הגרסאות, והפתרון הזמני היה לכבות את רכיב ההצפנה IBE.
Google ו-Mandiant חשפו ב-30 בספטמבר קמפיין שמנצל שתי פרצות קריטיות בשערי ה-VPN של Citrix כבר מתחילת ספטמבר. ב-4 באוקטובר נוספה פרצה שלישית ברכיב ה-SAML, עם גרסה מתוקנת חדשה.
מרכז הסייבר הקנדי עדכן שחולשת הזרקת SQL בתוסף virtuser_query של Roundcube, שתוקנה כבר במאי, מנוצלת בידי תוקפים. מי שלא עדכן, או שספק האחסון שלו לא עדכן, חשוף.
WordPress 7.1.1, שיצאה ב-17 בספטמבר, סגרה 11 חולשות. אחת מהן, Click2Shell, אפשרה לגרום למנהל מחובר להתקין תבנית בלי לדעת, ובשילוב עם תבנית פגיעה להריץ קוד PHP על השרת.
Acronis הזהירה באמצע ספטמבר שחולשה בתוסף הגיבוי שלה לשרתי אחסון מנוצלת בתקיפות ממוקדות. משתמש עם הרשאות נמוכות יכול להפוך ל-root, וזה מסוכן במיוחד באחסון משותף.
תוקף דובר רוסית הפעיל מאות סוכני AI שניצלו שתי חולשות בתוכנת ניהול ההדפסות PaperCut. בתוך שלושה ימים נפרצו 395 ארגונים, רובם מוסדות חינוך, וב-12 מהם הושגה שליטה מלאה ברשת.
החולשות, בציון 9.8, מאפשרות לתוקף מרוחק להריץ קוד על שערי Check Point ועל חומות האש של Spark עוד לפני הזדהות. התיקון זמין דרך LivePatch ו-Jumbo Hotfix, וגרסאות ישנות נשארות בלי תיקון.
Wordfence חשפה ב-1 בספטמבר חולשת SQL Injection בתוסף הגיבוי והמיגרציה הפופולרי, שמאפשרת לתוקף אנונימי להשתלט על האתר ברגע שמנהל משחזר גיבוי. הגרסה המתוקנת היא 7.110.
ServiceNow פרסמה ב-27 באוגוסט עלון על ארבע חולשות בפלטפורמה שלה. שלוש מהן קיבלו ציון חומרה מקסימלי וניתנות לניצול בלי התחברות. הענן כבר מתוקן, אבל מי שמריץ את המערכת בעצמו צריך לפעול.
