חדשות סייבר יומיות - 17 באוקטובר 2026

מה קרה

חברת האבטחה Calif פרסמה אקספלויט PoC מלא להסלמת הרשאות מקומית שמקנה root ב-OpenBSD 7.9, באמצעות שרשור של גלישת מספר שלם בפונקציית shmat(4) לחיבור זיכרון משותף יחד עם use-after-free בספירת הפניות בקרנל.

גלישת המספר השלם נובעת ממונה short חתום ב-16 ביט (shm_nattch, מקסימום 32,767) שירש מקוד BSD מ-1988 ו-OpenBSD מעולם לא הרחיבה. האקספלויט ממפה מקטעים רבים ומפצל תהליכים כדי לעטוף את המונה, מתחרה על שחרור זיכרון שעדיין בשימוש, ואז משתמש בכתיבה מחוץ לגבולות על מוני multicast כדי להשחית רשומות page-table. כך הוא עוקף את KARL לערבוב כתובות הקרנל יחד עם SMAP ו-SMEP, ומאפשר לתוקף לדרוס function pointer צפוי.

לא הוקצו CVE. OpenBSD שיחררה תיקונים כ-errata 018 (14 בספטמבר, אמינות) ו-errata 026 (30 בספטמבר, אבטחה); שניהם ב-syspatch ומכסים את כל הארכיטקטורות. גם OpenBSD 7.8 קיבלה את תיקון גלישת המספר השלם. אין ראיות לניצול בשטח.

מי מושפע

מערכות OpenBSD 7.9 (ו-7.8 עבור גלישת המספר השלם) לפני ה-errata של ספטמבר 2026. כל משתמש מקומי ללא הרשאות במערכת לא מעודכנת יכול לנסות את השרשור.

OpenBSD בשימוש בחומות אש, שרתים ופריסות ממוקדות אבטחה; הבעיה מקומית בלבד ולכן החשיפה מרחוק מול האינטרנט מוגבלת, אבל תרחישי ריבוי משתמשים או חשבון שנפרץ נמצאים בסיכון.

למה זה חשוב

בחירת טיפוס בת עשרות שנים אפשרה שרשור root מלא שעוקף מיטיגציות חומרה ותוכנה מודרניות בלי צורך ב-info-leak. קוד ה-PoC ציבורי ב-GitHub, ומעלה את הסיכוי לתקיפות מקומיות אופורטוניסטיות או למחקר נוסף.

מפעילים שמתייחסים ל-OpenBSD כבסיס מוקשח עדיין צריכים להחיל את ה-errata במהירות; המקרה גם מדגיש סיכונים שיוריים ממבני נתונים ישנים בקרנל וממקצים דטרמיניסטיים.

איך אפשר היה למנוע את זה

החילו מיד את ה-errata הזמינים ב-syspatch (018 ו-026) על כל מערכות OpenBSD 7.8/7.9. בנו מחדש או אתחלו לפי דרישות התיקונים.

הגבילו גישה מקומית ללא הרשאות, נטרו פעילות חריגה של זיכרון משותף ופיצול תהליכים, ושקלו את ההקשחות הנוספות שהציעו החוקרים (safe-unlinking, ערבוב מקצה/page-table ובדיקות גבולות) היכן שזה ישים.

מה קרה

קבוצת התקיפה החשודה כנתמכת-מדינה סינית Armory Castle (UNC5221) ניצלה בפועל zero-day במכשירי BeyondTrust Remote Support, במעקב כ-CVE-2026-102764 (CVSS 9.8), לריגול ארוך טווח.

הפגיעות נמצאת ברכיבים פנימיים שלא אימתו כראוי את מקורות ההודעות, ואפשרה לתוקפים בתנאים הנכונים לבצע פעולות קבצים על המכשיר. הניצול החל לכל המוקדם ב-29 באוגוסט; BeyondTrust קיבלה התראה בסוף ספטמבר. התוקפים הסלימו הרשאות, ביצעו תנועה רוחבית, גנבו כל פרט הזדהות מאוחסן, פרסו נוזקה מותאמת (Sawfly ו-Bareclaw) ושינו קבצים עמידים ששורדים אתחולים ואיפוסים.

הפגיעות מאושרת ב-CISA KEV כמנוצלת בפועל. תיקון שוחרר. לקבוצה יש היסטוריה של ניצול zero-day נגד התקני קצה, כולל פגיעויות קודמות ב-Ivanti וב-Citrix.

מי מושפע

ארגונים שמריצים מכשירי BeyondTrust Remote Support נגישים מהאינטרנט, שלא היו מעודכנים בזמן הניצול. בין היעדים: שירותים משפטיים, ספקי SaaS, BPO, חברות טכנולוגיה וגופים ממשלתיים במדינות שונות.

כל מכשיר שנחשף יש להתייחס אליו כאל חשוד בחדירה עד לבדיקה יסודית.

למה זה חשוב

zero-day קריטי שמנוצל בפועל בתוכנת תמיכה מרחוק נפוצה מעניק לגורמים מתוחכמים גישה עמוקה ועמידה וגניבה מלאה של פרטי הזדהות. דפוס הקבוצה של שימוש סלקטיבי ב-zero-day ואחריו ניצול המוני לאחר הגילוי מעלה את הסיכון לסריקה ולתקיפות רחבות יותר עכשיו כשהפרטים ציבוריים.

בונים ומפעילים של תשתית זהויות וגישה מרחוק חייבים להניח שמכשירים בעלי ערך גבוה הם יעדים מובילים, ולהיערך לעדכון מהיר יחד עם הערכת חדירה.

איך אפשר היה למנוע את זה

החילו מיד את תיקון BeyondTrust ל-CVE-2026-102764. הוציאו מקו כל מכשיר שנחשף בעבר לאינטרנט לצורך סקירה פורנזית; הניחו חדירה עד שיוכח אחרת.

בצעו רוטציה לכל פרטי ההזדהות שמאוחסנים על המכשיר או נגישים דרכו, אכפו סגמנטציה ברשת והרשאות מינימליות לממשקי ניהול, נטרו את משפחות הנוזקה שדווחו, ובדקו לוגים לאיתור פעולות קבצים חריגות או תנועה רוחבית.

מה קרה

תוקפים ביצעו typosquatting על כלי עזר פופולריים של Arch User Repository (AUR) כשהעלו חבילות זדוניות בשמות כמו "yyay" שמדמים מקרוב את yay ו-paru. חשבון AUR בשם marchos1as העלה את הזיופים בהמוניהם.

החבילות נראו כאריזה מחדש של כלי העזר הלגיטימיים (אותו URL של upstream ואותו tarball), אך הכילו scriptlet התקנה זדוני שהוריד והריץ קוד שרירותי (linux.sh מ-gitflic.ru) כ-root במהלך התקנה או שדרוג ב-pacman. פונקציות התקנה סטנדרטיות ריקות שימשו להתחמקות מבדיקה שטחית ומסורקים. חברי הקהילה סימנו את החבילות; המתחזקים חסמו את המשתמש ומחקו את החבילות בתוך כשעה מהדיווח הפומבי. לא פורטו ראיות להדבקות מוצלחות בהיקף נרחב, אם כי הטכניקה מעניקה root מלא בכל מכונה שהתקינה זיוף.

מי מושפע

משתמשי Arch Linux והנגזרות שלו שמתקינים תוכנה מ-AUR ומקלידים בשגיאה שמות של כלי עזר נפוצים (yay, paru), או שלא סוקרים בקפידה PKGBUILD וסקריפטי התקנה לפני הבנייה.

AUR מונע על ידי הקהילה ונמצא בשימוש נרחב לחבילות מחוץ למאגרים הרשמיים; הסיכון גבוה ביותר אצל משתמשים שממכנים התקנות של כלי עזר בלי אימות.

למה זה חשוב

typosquat פשוט יחד עם סקריפט התקנה ברמת root הופך התקנת חבילה שגרתית לחדירה מלאה ומיידית למערכת. זה ממשיך תבנית של ניצול לרעה של AUR (השתלטויות קודמות על חבילות נטושות וגלים של נוזקה) שכבר אילץ הקפאות העלאה זמניות.

מפעילי דסקטופ ושרתים ב-Linux שמסתמכים על כלי עזר של AUR חייבים להתייחס לכל חבילת קהילה כאל קוד לא מהימן שרץ עם הרשאות מוגברות.

איך אפשר היה למנוע את זה

אל תתקינו חבילות AUR ששמותיהן הן שגיאות הקלדה קרובות של כלים פופולריים. תמיד סקרו ידנית את ה-PKGBUILD וכל scriptlet של התקנה או שדרוג לפני הבנייה.

העדיפו מאגרים רשמיים או כלי עזר מוכרים ומבוקרים שמותקנים ממקורות מהימנים; השתמשו ב-allow-lists של שמות חבילות או בכלי עזר של AUR שמוגדרים לאימות מחמיר; נטרו את לוגי ה-pacman לביצוע סקריפטים בלתי צפוי כ-root; ושקלו לחסום דומיינים לא מהימנים שמשמשים בסקריפטי build.

מה קרה

מיקרוסופט פרסמה תיקונים ליותר מ-30 פגיעויות חדשות, רובן בערכת Office. שני תריסר הן פגיעויות הרצת קוד מרחוק (RCE) בחומרה גבוהה; כחצי תריסר ניתנות להפעלה דרך Preview Pane.

רוב פגיעויות ה-RCE דורשות שהקורבן יפתח קובץ שנבנה במיוחד (מסמך וכדומה). הגורמים השורשיים כוללים buffer overflows, שגיאות off-by-one, use-after-free, path traversal ו-numeric truncation. עיקר התיקונים הופנו ל-Word, עם תיקונים נוספים ל-Excel, Outlook, PowerPoint ו-SharePoint. מיקרוסופט תיקנה גם באגים של חשיפת מידע, בעיית עקיפת אבטחה ב-Office, DoS ב-ASP.NET Core, הסלמת הרשאות ב-Identity Web וחשיפת מידע ב-MSAL for Node.js.

אף אחת מהבעיות שטופלו כעת לא הייתה ידועה כמנוצלת בשטח כ-zero-day. מיקרוסופט עדכנה גם advisories עבור Office LTSC for Mac 2021/2024 ו-Office 365 for Mac.

מי מושפע

משתמשים וארגונים שמריצים Microsoft Office ללא תיקונים (גרסאות Windows ו-Mac, כולל LTSC ו-Microsoft 365) ורכיבים קשורים כמו SharePoint, ASP.NET Core, Identity Web ו-MSAL for Node.js.

סביבות ארגוניות שפותחות מסמכים לא מהימנים או מסתמכות על פונקציונליות Preview Pane ניצבות מול הסיכון המעשי הגבוה ביותר.

למה זה חשוב

מנה גדולה של פגיעויות RCE בערכת הפרודוקטיביות הנפוצה ביותר בעולם יוצרת משטח תקיפה רחב לפישינג ולהפצת נוזקה מבוססת מסמכים. וקטורי Preview Pane מורידים את הרף כי בחלק מהקונפיגורציות הם יכולים לרוץ בלי לפתוח את הקובץ במלואו.

גם בלי ניצול נוכחי בשטח, הפיכה מהירה לנשק אחרי פרסום התיקון היא נפוצה; פריסה בזמן מצמצמת את החלון לתוקפים.

איך אפשר היה למנוע את זה

החילו מיד את עדכוני האבטחה האחרונים של Microsoft Office והרכיבים הקשורים דרך Windows Update, Microsoft Update או מערכת ניהול התיקונים הארגונית שלכם. תעדפו מערכות שמטפלות בדוא"ל ובמסמכים חיצוניים.

השביתו או הגבילו את Preview Pane היכן שאפשר, אכפו Protected View וכללי Attack Surface Reduction עבור Office, חסמו מאקרואים מיותרים, והדריכו משתמשים לא לפתוח קבצים מצורפים בלתי צפויים.

מה קרה

משטרת מוסקבה עצרה שלושה חשודים כחברים בקבוצת DataSuckers, שפועלת ממניעים כלכליים, בעקבות פריצה לרשת הפיצה הרוסית Dodo Pizza. על פי החשד נחשפו רשומות שקשורות למאות מיליוני הזמנות לאורך 15 שנה. חבר רביעי בקבוצה טרם נתפס.

דניס פרידמן (Denis Fridman), בן 19, הושם במעצר בית עד 8 בדצמבר ועומד בפני אישומים הקשורים לטיפול בלתי חוקי במידע ממוחשב שמכיל נתונים אישיים. על פי הדיווחים, המשטרה איתרה אותו אחרי שחשף את כתובת ה-IP שלו בזמן שניגש לנתונים הגנובים. הקבוצה כביכול השיגה פרטי הזדהות ארגוניים שהושארו ב-GitHub, ואז התקדמה לאחסון ענן, למסדי נתונים ולמאגרי סיסמאות. הארכיון הגנוב נמכר בדארק ווב בכ-100,000 דולר במטבע קריפטוגרפי.

קבוצת DataSuckers טענה גם לתקיפות נגד מפעילת התיירות הרוסית Tez Tour ונגד רשת המכולת האוקראינית ATB.

מי מושפע

Dodo Pizza (כ-1,500 מסעדות ב-28 מדינות) ולקוחותיה, שפרטי השם, הכתובת, הטלפון, הדוא"ל, תאריך הלידה והיסטוריית ההזמנות שלהם עשויים היו להיות נגישים. קורבנות נוספים על פי הטענות כוללים לקוחות ותפעול של Tez Tour ושל ATB ברוסיה ובאוקראינה.

החשודים כוללים אזרחי רוסיה, קזחסטן ובלארוס.

למה זה חשוב

המקרה מדגים גם את ההשפעה של חשיפה פשוטה של פרטי הזדהות (סודות ב-GitHub) שמובילה לגניבת נתונים אישיים בהיקף עצום, וגם את היכולת של רשויות אכיפה מקומיות לפעול כש-OpSec נכשל (דליפת IP). הוא גם ממחיש את הקצב העולה של תקיפות ממניעים כלכליים על קמעונאות ואירוח באזור.

על מפעילים לשים לב שגם קבוצות "מקומיות" יכולות להמיר מאגרי לקוחות גדולים לכסף במהירות בשווקים מחתרתיים.

מה קרה

בראיון ל-Help Net Security תיאר דיוויד פור (David Fuhr), ה-CTO של intcube, מחזור אבטחה של 12 שבועות שבו 27 רשויות מקומיות (הרבה יותר מ-10 עד 15 שתוכננו) חיזקו יחד את Windows Server ואת Active Directory.

התוכנית כללה מפגשים שבועיים, שיעורי בית, מדידות בנקודת ההתחלה ובנקודת הסיום, בדיקות מעבדה של שינויים שעלולים לשבור מערכות (SMB signing, LDAP signing, חיזוק Kerberos), ותוכניות rollback. פור טען ששורש הבעיה של חולשות AD שנמשכות לאורך זמן בצוותי אדמין של אדם אחד או שניים אינו חוסר מודעות או מימון גרידא, אלא היעדר מוטיבציה מובנית וקיבולת: דוחות ביקורת גדולים נשארים ללא קריאה, ואדמינים מבודדים מלהטטים בין יותר מדי משימות מתחרות מכדי להשלים את החיזוק.

מחזורים כאלה יוצרים קצב משותף, לחץ עמיתים ואנרגיה ממוקדת שייעוץ פרטני קלאסי לעיתים קרובות לא מצליח לשמר.

מי מושפע

צוותי IT קטנים (במיוחד כאלה עם אדמין אחד או שניים) ברשויות מקומיות, במנהל הציבורי ובארגונים דומים עם משאבים מוגבלים, שמריצים סביבות Active Directory ותיקות עם חוב טכני ותהליכי שהצטבר.

התבנית חלה באופן רחב על כל ארגון עם מחסור בכוח אדם שעדיין תלוי בתשתית הזהויות של Microsoft שקיימת כבר עשרות שנים.

למה זה חשוב

תצורות שגויות ידועות וניתנות לתיקון ב-AD נשארות פתוחות שנים וממשיכות לאפשר כופרה ותנועה רוחבית. דוחות ביקורת לבדם אינם מובילים לתיקון כשלצוותים חסרים זמן, אנרגיה ונתיב ביצוע ברור.

מודל ה-cohort מציע לצוותי ההגנה דרך מעשית להפוך מודעות לחיזוק שהושלם בלי לדרוש תוספת כוח אדם משמעותית, ולכן הוא רלוונטי ל-CISO ולמנהלי IT במגזר הציבורי שמתמודדים עם אותן מגבלות.