חדשות סייבר יומיות - 2 בנובמבר 2026

מה קרה

חוקרי אבטחה ב-Anthropic זיהו פגיעות קריטית בקרנל של Linux, שמאפשרת ביצוע קוד מרחוק (RCE) ללא אימות במערכות עם מאזיני Multipath TCP (MPTCP).

הפגיעות מאפשרת לתוקפים להשיג RCE ללא אימות דרך תקיפה של מערכות שבהן MPTCP פעיל. פרטים נוספים וסיקור הופיעו בדיווחים של Bleeping Computer.

מי מושפע

מערכות Linux שמוגדרות עם מאזיני Multipath TCP. זה כולל שרתים והתקנים שמריצים גרסאות קרנל פגיעות שבהן MPTCP מופעל, וייתכן שחלק משמעותי מפריסות Linux מודרניות שבהן התכונה פעילה.

למה זה חשוב

פגיעות RCE ללא אימות בקרנל היא אחד מסוגי הפגיעויות החמורים ביותר, ומאפשרת חדירה מלאה למערכת מרשתות מרוחקות ללא פרטי הזדהות. מפעילים שמריצים MPTCP ניצבים בפני סיכון מיידי להשתלטות מלאה, גניבת נתונים או תנועה רוחבית בהמשך.

איך אפשר היה למנוע את זה

בטלו את MPTCP אם אינו נדרש. החילו תיקוני קרנל זמינים בהקדם ברגע שיופצו על ידי המפיצים. נטרו פעילות רשת חריגה בפורטי MPTCP והגבילו את חשיפת המאזינים לרשתות מהימנות בלבד.

מה קרה

הקבוצה מאחורי כופרת Aur0ra, שמזוהה אצל Sophos כ-GOLD OGRE, משתמשת בסוכני AI כדי לבצע אוטומציה של חלק ניכר מהפעילות שלה לאחר החדירה בתוך רשתות הקורבנות.

התוקפים סיפקו לסוכנים (דרך עוזר הקידוד Cursor AI ומודלים של Anthropic, xAI ו-Moonshot) פרטי התחברות ל-VPN, גישת proxy, יעדים ומטרות. הסוכנים מיפו לאחר מכן רשתות ו-Active Directory, חיפשו סיסמאות בשיתופי קבצים ובגיבויים, וביצעו תנועה רוחבית, ולעיתים הגיעו עד domain admin. הפריצה עצמה ופריסת הכופרה נותרו בשליטה אנושית. ה-prompts נכתבו לעיתים קרובות ברוסית, והמפעילים הציגו את הפעילות כעבודת red team מורשית כדי לעקוף guardrails.

מי מושפע

ארגונים שנפגעו ממתקפות כופרת Aur0ra. Sophos שחזרה ארטיפקטים שהראו גישה מוצלחת לניהול domain במקרים מסוימים, ושלושה קורבנות הופיעו מאוחר יותר באתר הדלפות של הקבוצה. קבוצות כופרה אחרות צפויות לאמץ טכניקות דומות של סוכני AI.

למה זה חשוב

סוכני AI מורידים את רף המיומנות ומאיצים ציד של פרטי הזדהות, תנועה רוחבית והסלמת הרשאות, כך שמספר מצומצם יותר של מפעילים יכול לטפל ביותר חדירות. על המגינים להניח שהתקדמות התוקף תהיה מהירה יותר מרגע שמושגת גישה ראשונית, ולתעדף זיהוי ותגובה מהירים.

איך אפשר היה למנוע את זה

החילו תיקונים בהקדם על התקנים החשופים לאינטרנט. פרסו אימות רב שלבי (MFA) עמיד לפישינג. נטרו מקרוב התראות EDR והבטיחו תגובה מהירה לאירועים. הגבילו ובקרו את השימוש בעוזרי קידוד מבוססי AI בסביבות רגישות, ושימו לב לפעילות סוכנים חריגה או להגדרות proxy חשודות.

מה קרה

תוקפים שהתחו לתמיכת IT ב-Microsoft Teams ביצעו הנדסה חברתית על עובדים וגרמו להם להעניק שליטה מרחוק על המחשבים שלהם באמצעות Windows Quick Assist. לאחר מכן ניצלו קונפיגורציות לא מאובטחות של Active Directory Certificate Services (AD CS) כדי להשיג תעודות התחברות לחשבונות בעלי הרשאות, כולל domain controllers.

Microsoft חקרה שתי חדירות כאלה. לא נוצלה פגיעות ב-Teams עצמו. באחד המקרים הועתקו נתונים לשרת חיצוני. התוקפים השתמשו בתבניות תעודות חלשות מסוג ESC1, שמאפשרות למשתמשים בעלי הרשאות נמוכות לבקש תעודות תוך התחזות לחשבונות בעלי הרשאות גבוהות. התעודות נשארות בתוקף גם אחרי איפוס סיסמאות. באחת החדירות בוצע DCSync לאחר השגת תעודה של domain controller.

מי מושפע

ארגונים שמשתמשים ב-Microsoft Teams וב-Active Directory עם תבניות תעודות AD CS בקונפיגורציה לקויה (במיוחד ESC1). עובדים שניתן ליצור איתם קשר דרך Teams מ-tenants חיצוניים. בשני המקרים שנחקרו נפגעו משתמשים מרובים וחשבונות בעלי הרשאות.

למה זה חשוב

הנדסה חברתית בשילוב גישה מבוססת תעודות שנשארת בתוקף עוקפת צעדי בלימה מסורתיים רבים כמו איפוס סיסמאות או מחיקת מכונות. תעודות בעלות הרשאות מאפשרות שליטה בדומיין ושליפת פרטי הזדהות (credential dumping), ומובילות לגניבת נתונים בהיקף רחב ולנוכחות מתמשכת שקשה למגר.

איך אפשר היה למנוע את זה

הקשיחו את AD CS: בדקו ותקנו תבניות תעודות פגיעות מסוג ESC1 ודומות להן, כך שמבקשים לא יוכלו לציין שמות subject שרירותיים עבור חשבונות בעלי הרשאות. הכשירו משתמשים לאמת אנשי קשר של תמיכת IT בערוץ נפרד ולעולם לא לשתף קודי Quick Assist עם פניות לא יזומות. הפעילו וכווננו Automatic Attack Disruption ב-Microsoft Defender. הגבילו federation חיצוני של Teams ככל האפשר, ונטרו רישומי תעודות חריגים ופעילות DCSync.

מה קרה

Ivanti שחררה תיקונים לשתי zero-days נוספות ב-Connect Secure, CVE-2026-111357 ו-CVE-2026-118527, שתוקפים שרשרו יחד עם עקיפת האימות הקודמת CVE-2026-104935 במתקפות zero-day.

CISA הוסיפה את שתי ה-CVEs החדשות לקטלוג Known Exploited Vulnerabilities שלה. CVE-2026-111357 (CVSS גבוהה) היא הסלמת הרשאות עקב אמון שגוי בנתוני קונפיגורציה של DSCache, שמאפשרת העלאה ל-root. CVE-2026-118527 כוללת מזהים צפויים שמאפשרים העלאת קבצים מאומתת למיקומים ידועים. המתקפות פגעו במספר מוגבל של לקוחות. התיקונים מגיעים ב-ICS 25.1.1.3 ו-22.8R2.6.

מי מושפע

משתמשי Ivanti Connect Secure בגרסאות 25.1.1.2 ומטה, ו-22.8R2.5 ומטה. ארגונים שהחילו רק את התיקון הקודם ל-CVE-2026-104935 חייבים לשדרג שוב. מספר הקורבנות המאושרים מוגבל בינתיים, אך מכשירי VPN הם יעדים בעלי ערך גבוה.

למה זה חשוב

שרשרת zero-days בשערי VPN הפונים לאינטרנט מעניקה לתוקפים נתיב אמין מגישה ללא הזדהות עד לחדירה מלאה למכשיר ולאחיזה ברשת. ניצול בפועל שאושר על ידי CISA משמעו שמערכות שלא עודכנו נמצאות בסיכון מיידי לפריצה.

איך אפשר היה למנוע את זה

שדרגו מיד ל-Ivanti Connect Secure 25.1.1.3 או 22.8R2.6 (או מאוחר יותר). פעלו לפי הנחיות CISA KEV והחילו תיקונים בלוח הזמנים המחייב. נטרו indicators of compromise מה-advisories הקשורים, הגבילו ממשקי ניהול, ושקלו בקרות מפצות כמו שכבות אימות נוספות או סגמנטציית רשת לתעבורת VPN.

מה קרה

ה-FBI ו-U.S. Secret Service ייחסו את גניבת יותר מ-6.3 מיליארד דולר מ-Binance לקבוצת התקיפה TraderTraitor של צפון קוריאה. הסוכנויות קראו לתעשיית הקריפטו לחסום עסקאות הקשורות לכספים הגנובים.

האקרים העבירו והחליפו נכסים דרך אלפי עסקאות אוטומטיות כדי לטשטש עקבות, בעיקר באמצעות המרה ל-Ethereum ולאחר מכן שימוש בשירותי DeFi והחלפה. כ-3 מיליארד דולר הוקפאו בסיוע התעשייה. Binance השביתה זמנית את פעילותה, השתמשה ברזרבות לכיסוי ההפסדים, ובהמשך זיהתה נקודות פריצה נוספות מעבר למחשב הנייד של מהנדס שנפרץ שדווח עליו בתחילה. מנגנון השמדה עצמית הקשה על החקירה הפורנזית.

מי מושפע

Binance ומשתמשיה, וכן האקוסיסטם הרחב יותר של מטבעות קריפטוגרפיים, כולל בורסות, פלטפורמות DeFi ו-mixers שעשויים לעבד את הכספים הגנובים. גורמי אכיפת חוק וחברות blockchain analytics שעוקבות אחר הלבנת הכספים.

למה זה חשוב

זו אחת מגניבות הקריפטו הגדולות ביותר שתועדו, והיא מדגימה יכולת ברמת מדינה לתקוף בורסות מרכזיות ולהלבין כספים במהירות גבוהה באמצעות אוטומציה. האירוע מפעיל לחץ על התעשייה כולה בנוגע לניטור עסקאות, שיתוף פעולה בהקפאות, ואבטחה תפעולית סביב מפתחות ותשתיות בעלי ערך גבוה.

איך אפשר היה למנוע את זה

חסמו מיד כתובות TraderTraitor שפורסמו וכן כספים שנגזרו מהן. יישמו ניטור עסקאות חזק לזיהוי תבניות הלבנה אוטומטיות בנפח גבוה. חזקו בקרות גישה פנימיות, ניהול מפתחות וניטור של endpoints של מהנדסים. שתפו פעולה עם אכיפת החוק בהקפאות ושתפו אינדיקטורים.

מה קרה

חברת blockchain analytics Chainalysis זיהתה אירוע סייבר שבו תוקפים חיצוניים השתמשו ב-"offensive agentic techniques" כדי לגשת למערכותיה ולכלים הפנימיים שלה.

החברה מסרה שאין אינדיקציה לגישה לא מורשית לתוכן חקירות, גרפים, הערות, תיקים, תוצאות עסקאות, סיסמאות בטקסט גלוי, סודות MFA או session tokens. התוקפים כן השיגו חלק ממזהי המשתמשים של לקוחות, שמות מלאים, כתובות אימייל ותוויות תפקיד בארגון. האירוע אינו קשור לפריצה האחרונה ב-Binance. Chainalysis מודיעה ללקוחות שנפגעו וגייסה מומחים חיצוניים.

מי מושפע

לקוחות Chainalysis, כולל בורסות קריפטו, בנקים, גורמי אכיפת חוק וסוכנויות ממשלתיות, שמזהי המשתמשים, השמות, כתובות האימייל ותוויות התפקיד שלהם הגיעו לידי התוקפים. החברה עצמה ומשתמשי הפלטפורמה שלה חשופים לסיכון מוגבר של הנדסה חברתית.

למה זה חשוב

חשיפת נתוני קשר ותפקידים של לקוחות מאפשרת תקיפות פישינג והנדסה חברתית ממוקדות מאוד נגד ארגונים המעורבים בחקירות פשיעת קריפטו. השימוש בטכניקות agentic מדגיש כיצד התקפות מבוססות AI יכולות לכוון גם לספקי אבטחה ואנליטיקה מתמחים.

איך אפשר היה למנוע את זה

עקבו אחר בקשות בלתי צפויות לאיפוס סיסמה או להזדהות, הפעילו MFA אם הוא עדיין לא פעיל, והתייחסו בזהירות ליצירת קשר לא מבוקשת. ב-Chainalysis ובחברות דומות: האיצו סקירות של משטחי תקיפה agentic, בצעו רוטציה לכל פרטי הזדהות שעלולים להיות חשופים, והקשיחו את הגישה לכלים פנימיים.

מה קרה

Google הרחיבה את תוכנית Cloud Vulnerability Reward Program עם פרס עליון חדש של 250,000 דולר על מחקר ארכיטקטוני בעל השפעה גבוהה שמדגים שליטה מנהלית מלאה על ארגונים או פרויקטים ב-Google Cloud.

כדי לעמוד בתנאי הזכאות, הנתיב חייב להשיג הרשאות roles/owner או שליטת IAM מלאה בלי להסתמך על גישה קיימת לפרויקט, על פרטי הזדהות שנפרצו או על הנדסה חברתית. גם ממצאי RCE ב-Borg (תשתית הייצור של Google) או ממצאי root-in-production זכאים, בכפוף לכללים מחמירים שדורשים מהחוקרים לעצור מיד עם כל הרצה ב-Borg ואוסרים הסלמה נוספת.

מי מושפע

חוקרי אבטחה שמשתתפים ב-Cloud VRP של Google. בעקיפין נהנים מכך גם לקוחות Google Cloud, בזכות בידוד משופר והקשחת ארכיטקטורה כתוצאה מהמחקר שמעודדים הפרסים.

למה זה חשוב

פרסים גבוהים יותר על פגמים בבידוד tenants ובלוגיקה בין שירותים מעודדים בדיקה ארכיטקטונית עמוקה יותר שציד באגים מסורתי עלול לפספס. כללי engagement ברורים מגנים על סביבת הייצור ועדיין מושכים מחקר מתקדם, כולל גילוי בסיוע AI.