חדשות סייבר יומיות - 12 באוקטובר 2026

מה קרה

Ledger אישרה שארנקי חומרה שנמכרו דרך המפיצה CryptoBilis בדרום מזרח אסיה הכילו שתלים לא מורשים, שמקושרים לגל של ריקוני ארנקים שהחל בסביבות 9 באוקטובר 2026. חוקרי on-chain מעריכים שההפסדים החשודים עולים על 93 מיליון דולר. Ledger הצהירה שמערכותיה וצינורות המכירה הישירים שלה לא נפרצו.

מנכ"ל Mt. Gox לשעבר מארק קרפלס (Mark Karpelès) ניתח מכשיר שנרכש במלזיה ותיאר לוח מעגלים קטן שהוסתר מתחת לריפוד המסך. הלוח כלל microcontroller, אנטנה, שבב LTE ו-e-SIM. לפי החשד, השתל מנטר את התצוגה, לוכד את משפט השחזור (seed phrase) כשהוא מוצג, ומשדר אותו כדי שתוקפים יוכלו לבנות מחדש את הארנק ולרוקן אותו מרחוק בלי מגע נוסף עם המכשיר המקורי. השתל עבר את Genuine Check של Ledger משום ששבב האבטחה האמיתי נותר שלם, והמכשיר הגיע באריזה תקינה.

מי מושפע

לקוחות שרכשו ארנקי חומרה של Ledger מהמפיצה CryptoBilis בדרום מזרח אסיה, ובמיוחד מכשירים שהתקבלו בחודשים האחרונים (ההמלצה של Ledger מכסה את 90 הימים האחרונים, בעוד שנתוני on-chain מצביעים על כך שארנקים רבים שרוקנו קיבלו כספים מיוני ואילך). Ledger לא אישרה בעיות דומות בערוצים אחרים כמו המפיצה האירופית Mediamarkt.

ההשפעה מוגבלת לנתיב שרשרת האספקה דרך אותה מפיצה. מכירות ישירות של Ledger והתשתית של החברה עצמה לא נפרצו.

למה זה חשוב

ארנקי חומרה זוכים לאמון בדיוק כי מפתחות פרטיים אף פעם לא יוצאים מהמכשיר. שתל פיזי שלוכד בשקט את משפט השחזור מנפץ את המודל הזה ומאפשר ריקון מתואם ומעוכב של ארנקים רבים בבת אחת. האירוע מראה שגם מפיצים מורשים ואריזה תקינה אינם מציעים ערובה מוחלטת מפני חבלה בשרשרת האספקה.

מפעילים ומחזיקים בעלי ערך גבוה חייבים להתייחס לכל שרשרת ההפצה כחלק ממודל האיום, ולוודא מכשירים מעבר לבדיקות היצרן.

איך אפשר היה למנוע את זה

אל תאתחלו אף מכשיר Ledger שנרכש מ-CryptoBilis. אם כבר הוגדר, העבירו מיד את כל הנכסים למכשיר חדש שנרכש ישירות מ-Ledger, עם משפט שחזור חדש, ופנו ל-Ledger Support בערוצים הרשמיים. הגישו דיווחים לרשויות האכיפה המקומיות.

רכשו רק מהחנות הרשמית של Ledger או מערוצים ישירים מאומתים. אל תחזירו למלאי מכשירים שהוחזרו. פתחו ובדקו פיזית מכשירים חדשים לאיתור לוחות זרים מתחת למסך אם מוחזקים כספים בערך גבוה. נטרו פישינג שמנצל את האירוע.

מה קרה

לפגיעות remote code execution לפני אימות ב-AnyDesk ל-Linux קיים אקספלויט ציבורי שעובד במלואו ומעניק גישת root בלי שום אישור משתמש לחיבור. חוקרים שחררו את האקספלויט (שכונה AnyPwn), שמכוון ל-heap buffer overflow בפרוטוקול הסשן בחיבורי TCP ישירים לפורט 7070.

AnyDesk תיקנה את הבעיה בגרסה 8.0.3 ביוני 2026. ב-changelog הוזכר רק תיקון קריסה, ולא הוקצה CVE באותו זמן. האקספלויט הסתברותי ודורש פריסות heap ספציפיות, אך חוקרים הראו שאפשר להגיע אליו גם דרך שרתי relay של AnyDesk. גרסאות Windows ו-macOS אינן מושפעות.

מי מושפע

מערכות AnyDesk ל-Linux בגרסאות שלפני 8.0.3 שמקבלות חיבורי TCP ישירים בפורט 7070. ארגונים ויחידים שמריצים נקודות קצה של remote desktop ב-Linux ללא תיקון, במיוחד כאלה שחשופות או נגישות דרך relays.

ההיקף משמעותי בכל מקום שבו AnyDesk ל-Linux משמש לתמיכה מרחוק או לניהול בלי הגבלות רשת.

למה זה חשוב

פגיעות RCE לפני אימות שמגיעה ל-root משמעותה שתוקף יכול לחדור למארח במלואו לפני כל אינטראקציה אנושית. כלי גישה מרחוק יושבים בלב תפעול ה-IT; shell של root כאן מאפשר תנועה רוחבית, גניבת נתונים ופריסת כופרה במאמץ מינימלי.

התיקון השקט והגילוי הציבורי המעוכב הותירו חלון שבו מערכות רבות נשארו פגיעות אחרי שהתיקון כבר היה קיים.

איך אפשר היה למנוע את זה

עדכנו את AnyDesk ל-Linux לגרסה 8.0.3 ומעלה מיד. הגבילו גישה נכנסת לפורט TCP 7070 באמצעות firewalls כך שרק מקורות מהימנים יוכלו להגיע אליו. העדיפו קונפיגורציות relay בלבד כשאפשר, ונטרו ניסיונות חיבור בלתי צפויים.

אמתו את הגרסה הרצה בכל הסביבה והתייחסו לכל סביבת Linux לפני 8.0.3 כעדיפות גבוהה לבידוד עד להחלת התיקון.

מה קרה

פגיעות RCE ללא אימות בחומרה מקסימלית בתוסף Bricksforge ל-WordPress מנוצלת בפועל. הפגיעות, שמזוהה כ-CVE-2026-85097 (CVSS 9.8), משפיעה על גרסאות עד כולל 3.1.8.9 ותוקנה ב-3.1.8.10.

היא נובעת מאימות לא מספק של שדה ה-URL שבשליטת התוקף בתוך הפרמטר temporaryFileUploads במהלך שליחת טופס. תוקפים משיגים nonce מנקודת קצה AJAX ללא אימות, מעלים polyglot מסוג GIF/PHP שעובר בדיקות MIME, ואז שולחים metadata שנבנה במיוחד שגורם לשרת להציב קוד PHP בנתיב .php ולהריץ אותו. Patchstack זיהתה ניצול שהחל ב-7 באוקטובר 2026 נגד נקודות הקצה form_submit ב-REST וב-admin-ajax.

מי מושפע

אתרי WordPress שמריצים את תוסף Bricksforge (תוסף נלווה ל-Bricks visual builder) בגרסה 3.1.8.9 או מוקדמת יותר. כל אתר שעדיין לא החיל את תיקון 3.1.8.10 נשאר חשוף לחלוטין להשתלטות ללא אימות.

Bricksforge משמש לאנימציות, טפסים מתקדמים ופיצ'רים קשורים; רמת החשיפה תלויה בהיקף ההתקנה של התוסף ובמספר האתרים שנותרו ללא תיקון.

למה זה חשוב

RCE ללא אימות באתר WordPress מוביל בדרך כלל לשליטה מלאה באתר, web shells, גניבת נתונים, הפצת נוזקה ושימוש באתר כנקודת זינוק לסביבת האחסון. ניצול פעיל אומר שסורקים ותוקפים כבר מנצלים את הבאג ככלי תקיפה.

בעלי אתרים וספקי אחסון חייבים להתייחס לזה כתיקון חירום, כי שרשרת התקיפה לא דורשת פרטי הזדהות ומובילה ישירות להרצת קוד.

איך אפשר היה למנוע את זה

עדכנו את תוסף Bricksforge לגרסה 3.1.8.10 או מאוחרת יותר באופן מיידי. אם עדכון מיידי אינו אפשרי, השביתו את התוסף או חסמו את נקודות הקצה form_submit של bricksforge ואת נקודות ה-AJAX/REST הקשורות ב-WAF.

סרקו קבצי PHP בלתי צפויים בתיקיות uploads ו-temporary, בדקו לוגי גישה לאיתור תעבורה חשודה של temporaryFileUploads, ובצעו רוטציה לכל פרטי הזדהות שעלולים היו להיחשף אחרי חדירה.

מה קרה

חוקרים פירטו קמפיין initial-access מתמשך ומתוגבר ב-AI של מתווך דובר רוסית בעל מוטיבציה כלכלית שמזוהה כ-CyberXero. גורם האיום משלב כלים נפוצים כמו Cobalt Strike עם שכבת תזמור המופעלת על ידי Claude Code של Anthropic, ופעיל לפחות מאז יולי 2026.

הוא מריץ שני צינורות מקבילים: קמפיין אוטומטי גלובלי נגד אתרי WordPress ואתרי e-commerce שמנצל פגיעויות ידועות כולל wp2shell (CVE-2026-63030 ו-CVE-2026-60137) ו-CVE-2026-4815 בתוסף Support Board, לצד קמפיין ידני ממוקד יותר נגד תשתיות אנרגיה ותשתיות קריטיות באוקראינה. הוצאת נתונים (exfiltration) מאומתת מארבעה ארגונים אוקראיניים הניבה יותר מ-628,000 רשומות של אזרחים אוקראינים; חדירות נוספות התרחשו בפולין, סין והולנד. תיקייה פתוחה חשופה חשפה את קבצי העבודה של הגורם, לוגי סשנים של AI, ערכות כלים ונתוני קורבנות.

מי מושפע

אתרי WordPress ואתרי e-commerce הפגיעים ל-CVEs שצוינו ברחבי העולם, וכן גופים אוקראיניים בתחומי האנרגיה, החימום והתשתיות הקריטיות שנתקפו באופן ממוקד. ארגוני קורבן מאומתים באוקראינה, עם קורבנות נלווים במדינות אחרות.

כ-628,000 רשומות אישיות של אזרחים אוקראינים כבר נאספו במקרים המאומתים.

למה זה חשוב

סוכני AI משמשים בקנה מידה רחב לסריקה, שרשור אקספלויטים, איסוף מידע (reconnaissance) ופעילות post-exploitation, מה שמוריד את רף המיומנות והזמן הנדרשים לקמפיינים אופורטוניסטיים רחבים ועדיין תומך בעבודה ממוקדת בעלת ערך גבוה. תשתיות קריטיות אוקראיניות נשארות במוקד על רקע המתח הגיאופוליטי הרחב יותר.

מתווכי initial-access מוכרים או מנצלים נקודות אחיזה לפשיעה נוספת; היקף הרשומות והפעילות המתמשכת הופכים את זה לאיום פעיל הן על יעדים מסחריים והן על יעדי ביטחון לאומי.

איך אפשר היה למנוע את זה

עדכנו מיד את ליבת WordPress ואת התוספים, במיוחד כל מה שקשור ל-CVE-2026-63030, CVE-2026-60137 ו-Support Board (CVE-2026-4815). הסירו או הקשיחו תוספים מיותרים, אכפו הרשאות מינימליות, ונטרו web shells וגישה חריגה לפאנל הניהול.

בצעו סגמנטציה לרשתות תשתיות קריטיות, דרשו אימות רב-שלבי (MFA) בכל מקום, וצודו beacons של Cobalt Strike וחיבורי יוצא חריגים. התייחסו לכל תיקייה חשופה או כלי תקיפה שדלף כאות לביצוע רוטציה של פרטי הזדהות ולבדיקת לוגים.

מה קרה

Bitdefender חשפה קמפיין של נוזקה מותקנת מראש בשם Midnight Mimosa בטלפוני Android זולים המבוססים על פלטפורמות MediaTek ונמכרים בשווקים מקוונים. הנוזקה מוטמעת בקושחת המכשיר עוד לפני האתחול הראשון, רצה בהרשאות מערכת ואינה ניתנת להסרה על ידי המשתמש.

היא מתקינה ומסירה אפליקציות בשקט, מעניקה לעצמה הרשאות Accessibility ו-Notification Access לצד הרשאות נוספות, וטוענת קוד מרחוק. המפעילים משתמשים בה להונאות פרסום ולחיצות, לטביעת אצבע של מכשירים ולהפיכת טלפונים לצמתי בוטנט מסוג residential proxy. רכיב המערכת הראשי (המסומן כ-System או וריאנטים כמו com.android.system.lite) חתום ברמת הפלטפורמה, והלוגיקה הזדונית מוסתרת בספרייה native שמופעלת ב-runtime. נצפו אלפי מכשירים ייחודיים ביותר מ-150 מדינות, כשמקסיקו, צרפת ואיטליה הן הנפגעות ביותר. רבים מהמכשירים הם מזויפים שנושאים שמות של דגמי דגל כמו i17 Pro Max או S25 Ultra.

מי מושפע

רוכשי מכשירי Android זולים משווקים מקוונים, במיוחד דגמים מבוססי MediaTek ומכשירים מזויפים. דגמים נגועים נפוצים כוללים Doogee S200 X ו-Cubot KINGKONG X. משתמשים ביותר מ-150 מדינות; הנפחים הגבוהים ביותר דווחו במקסיקו, צרפת, איטליה, ארה"ב, גרמניה, ברזיל וספרד.

כל מי שרכש מכשיר זול או בעל מיתוג חשוד שהגיע עם אפליקציות מערכת לא מוכרות עלול להיות מושפע.

למה זה חשוב

התקנה מראש ברמת הקושחה משמעה שהמכשיר נשלט עוד לפני שהמשתמש מדליק אותו בכלל. הרשאות מערכת מאפשרות למפעילים לשמור על persistence, לאסוף נתונים, לבצע הונאות ולהשכיר את המכשיר לבוטנטים, ויוצרות סיכוני פרטיות וזמינות לבעלים לצד מאגר מוכן של תשתית תקיפה לאחרים.

חדירה לשרשרת האספקה של חומרת צרכן בהיקף כזה שוחקת את האמון במכשירים זולים ויכולה להזין קמפיינים רחבים יותר של DDoS או מבוססי proxy.

איך אפשר היה למנוע את זה

העדיפו מכשירים מיצרנים מוכרים שנרכשו בערוצים רשמיים. בפתיחת האריזה, בדקו אפליקציות מערכת לא צפויות שחסרות להן אייקונים או שמתקינות את עצמן מחדש. השתמשו בכלי אבטחה לנייד שמזהים התנהגות מערכת חריגה.

אם יש חשד להדבקה, הפסיקו להשתמש במכשיר לחשבונות רגישים, בצעו איפוס מפעל מלא רק אם הנוזקה אינה יושבת עמוק בקושחה (במקרים רבים נדרש להחזיר או לזרוק את החומרה), והימנעו מ-sideloading. ארגונים: אסרו הכנסת מכשירי Android תקציביים לא מאושרים לרשתות הארגוניות.

מה קרה

מפעילת הקריוקי היפנית Daiichi Kosho דיווחה שהדבקת נוזקה אצל הספק Nippon Columbia Group (NCG) עלולה לחשוף מידע אישי של כ-8.724 מיליון לקוחות. בין 1 ל-2 באוקטובר 2026 נמצאה נוזקה במחשב עובד של NCG שהחזיק זמנית נתוני לקוחות במיקור חוץ; המכשיר בודד ב-2 באוקטובר, ו-Daiichi Kosho קיבלה הודעה ב-5 באוקטובר.

השדות שנחשפו עשויים לכלול שמות, מגדר, תאריכי לידה, כתובות אימייל ומספרי טלפון. NCG איפסה סיסמאות מושפעות וממשיכה לבדוק האם נתונים אכן יצאו מהסביבה. בהודעה הפומבית לא אושרה עדות לשימוש לרעה נוסף.

מי מושפע

כ-8.7 מיליון לקוחות של מותגי Daiichi Kosho, בעיקר Big Echo (כ-5.6 מיליון) ו-DK Dining (כ-3.5 מיליון), וכן משתמשי Mega Big, Banana Club, Karaoke Club Dam ו-B-Garage. הנתונים שייכים לאנשים שנרשמו או ביצעו הזמנות בסניפי החברה.

ההשפעה מוגבלת למידע ליצירת קשר ולמידע דמוגרפי שטופל על ידי הספק; נתוני כרטיסי תשלום לא הוזכרו.

למה זה חשוב

פריצות בשרשרת האספקה נשארות נתיב בעל מינוף גבוה אל מסדי נתוני לקוחות גדולים, גם כשמערכות המותג הראשי עצמן נשארות שלמות. שמונה מיליון רשומות של שמות, תאריכי לידה, כתובות אימייל ומספרי טלפון יוצרים כר פורה לתקיפות פישינג ממוקדות, smishing והנדסה חברתית נגד צרכנים יפנים.

התקרית מצטרפת לרצף אחרון של פריצות בתאגידים יפניים ומדגישה פערים מתמשכים בניהול סיכוני צד שלישי.

איך אפשר היה למנוע את זה

עקבו אחר מיילי פישינג, הודעות SMS או שיחות שמזכירות חשבונות קריוקי, ואל תמסרו סיסמאות או פרטי תשלום בתגובה. Daiichi Kosho מצהירה שהיא לעולם לא תבקש את המידע הזה.

אכפו בקרות מחמירות על האופן שבו ספקים מאחסנים ומעבדים נתוני לקוחות, דרשו סעיפי הודעה מהירה, צמצמו נתונים שנשמרים על endpoints של עובדים, ונטרו גישה של צד שלישי. אפסו פרטי הזדהות והגבירו ניטור אחרי כל תקרית אצל ספק.

מה קרה

AWS שחררה את Strands Box, sandbox בקוד פתוח לסוכני AI שנמצא כעת ב-developer preview. הכלי משלב בידוד שנאכף ברמת הקרנל (macOS Seatbelt במחשבי Mac עם Apple silicon, תמיכה ב-Linux מתוכננת) עם שכבת מדיניות שמעריכה את הפעולות הקודמות של הסוכן לפני שהיא מאשרת פעולות חדשות.

פקודות shell של הסוכן, הרצת Python, קריאות לכלי MCP ותעבורת רשת עוברות בארבע נקודות ביקורת שמתייעצות עם Dogwood Local Engine. פעולות נדחות כברירת מחדל אלא אם כלל מתיר אותן. היסטוריית אירועים משותפת מאפשרת לכללים לקשר התנהגות בין כלים (למשל חסימת HTTP יוצא אחרי קריאה מתיקייה רגישה). שער הרשת יכול להזריק סודות כך שהסוכן לעולם לא רואה מפתחות API אמיתיים.

מי מושפע

מפתחים וארגונים שבונים או מריצים סוכני קידוד אוטונומיים, סוכני תגובה לאירועים או כלים מבוססי LLM שמריצים קוד, קוראים ל-API או נוגעים בקבצים. כרגע מוגבל למחשבי Mac עם Apple silicon ב-preview; תמיכה ב-Linux צפויה בקרוב.

כל מי שמאמץ תהליכי עבודה agentic וזקוק לבידוד הדוק יותר מקונטיינרים פשוטים או microVMs.

למה זה חשוב

סוכני AI רצים לעתים קרובות עם הרשאות רחבות ("YOLO mode") ויכולים לברוח מתיקיות עבודה, להשמיד נתונים או לשלוף פרטי הזדהות. בידוד טהור חוצץ את הסביבה אך אינו מגביל כיצד משתמשים בכלים בתוך החומה. הכלי Strands Box מוסיף מנוע מדיניות שמנתח את ההיסטוריה, מעניק למפעילים שליטה מדויקת יותר ומצמצם את רדיוס הפגיעה של טעויות סוכן או התקפות prompt-injection.

פרסום ה-sandbox ושפת המדיניות Dogwood בקוד פתוח מאפשר לקהילה לבדוק, להרחיב ולחזק את הגישה.