חדשות סייבר יומיות - 21 באוקטובר 2026

מה קרה

תוקפים השיגו סוד API רגיש במיוחד של ConnectWise Cloud Backup (לשעבר SkyKick) והשתמשו בו כדי להזדהות בתור האפליקציה ה-multi-tenant המהימנה בסביבות Microsoft 365 של לקוחות.

Huntress זיהתה פעילות התחברות זדונית בכמעט 1,000 דיירי Entra החל מסביבות 15 באוקטובר, כאשר יותר מ-300 הצליחו ו-162 אושרו כלא מורשים. Microsoft ציינה איסוף מידע (reconnaissance) ב-Graph API וניסיונות להוסיף פרטי הזדהות לדלת אחורית על service principals. ConnectWise השעתה את שירותי Cloud Backup, SaaS Security ו-Cloud Management בזמן החקירה.

מי מושפע

לקוחות ConnectWise Cloud Backup, בעיקר עסקים קטנים ובינוניים ו-MSPs שלהם שהעניקו לאפליקציה הרשאות רחבות ב-Microsoft 365 הכוללות Exchange Online, Teams, SharePoint, OneDrive וגישה קשורה ל-Graph ול-Partner Center.

מאות דיירים אושרו כנפגעים; סביר שקיימות חדירות נוספות מעבר לטלמטריה המנוטרת.

למה זה חשוב

זו חדירת שרשרת אספקה קלאסית של זהות אפליקציית OAuth ולא של פרטי הזדהות משתמש. התוקף ירש את כל ההרשאות שכבר אושרו, עקף MFA ו-conditional access, ויכול היה לקרוא דואר, קבצים ונתוני ספריות תוך שתילת persistence.

מפעילי כל SaaS לגיבוי או ניהול multi-tenant מתמודדים עם סיכון blast radius דומה אם סוד client בודד נגנב.

איך אפשר היה למנוע את זה

בדקו מיד את לוגי ההתחברות וה-audit של Entra ID מול מזהי האפליקציה הידועים של ConnectWise וה-IPs הזדוניים שדווחו. בטלו או בצעו רוטציה להסכמות של האפליקציות המושפעות אם הדייר שלכם מציג פעילות חריגה, חפשו פרטי הזדהות שנוספו לאחרונה על service principals, ופעלו לפי ה-security advisory של ConnectWise לשלבי שחזור השירות.

סיימו כל סשן בלתי צפוי ונטרו פעילות Microsoft Graph לאיתור תבניות איסוף מידע.

מה קרה

מספר קבוצות כופרה, בהן Qilin (Spikey Scorpius) ו-Inc (Tarnished Scorpius), לצד מפעילי Settra, מנצלות את CVE-2026-0257, עקיפת אימות קריטית בפורטל וב-gateway של GlobalProtect ב-PAN-OS של Palo Alto Networks, לפחות מתחילת יוני.

הפגיעות (CVSS 9.1, ב-CISA KEV, EPSS 96.9%) נובעת מכך שהמכשירים מסתמכים על cookies בלי בדיקות תקינות ושלמות נאותות, ומאפשרת לתוקפים מרוחקים ללא הרשאות להקים סשני VPN לא מורשים ולעקוף MFA. Unit 42 עקבה אחרי פעילות post-exploitation שכוללת שימוש בכלי IT לגיטימיים לאיסוף מידע (reconnaissance) ולתנועה רוחבית, גניבת פרטי הזדהות, ובמקרה אחד זינוק ל-vCenter, השבתת בקרות ESXi, וחילוץ offline של פרטי הזדהות דומיין מדיסק וירטואלי; חלק מהשרשראות מנצלות גם את CVE-2023-27532 ב-Veeam.

מי מושפע

ארגונים שמריצים חומות אש פיזיות או וירטואליות של PAN-OS ללא תיקון, עם פורטל או gateway של GlobalProtect מופעל, וגם Prisma Access. Panorama ו-Cloud NGFW אינם מושפעים.

הקורבנות משתרעים על מגזרי הבריאות, החינוך, הממשל, האנרגיה, הפיננסים, הייצור ומגזרים נוספים; הניצול נמשך מול מכשירים חשופים לאינטרנט.

למה זה חשוב

ניצול מוצלח נראה כמו תעבורת VPN לגיטימית של עובד מרוחק, ומעכב את הזיהוי עד להופעת כופרה או גניבת נתונים. קלות הגישה הראשונית לצד טקטיקות המשך מתוחכמות (שליפת פרטי הזדהות בשכבת הווירטואליזציה שעוקפת EDR) הופכות מכשירים ללא תיקון ליעדים בעלי ערך גבוה עבור שותפי כופרה ומתווכי גישה ראשונית.

איך אפשר היה למנוע את זה

עדכנו מיד את כל סביבות PAN-OS ו-Prisma Access המושפעות לגרסאות המתוקנות. השביתו authentication override cookies במקומות שאינם נדרשים, סיימו את כל סשני GlobalProtect הפעילים אחרי החלת התיקון, וחפשו חיבורי VPN בלתי צפויים (כולל hostnames כמו kali), חשבונות admin חדשים שמקורם ב-IPs של VPN, ואת ה-IoCs שפרסמו Unit 42 ו-ReliaQuest.

החלת תיקון לבדה אינה מסירה גישה שהוקמה לפני המיטיגציה.

מה קרה

Horizon3.ai פרסמה אקספלויט proof-of-concept ציבורי ל-CVE-2026-106173, פגיעות path-traversal קריטית ב-Fortinet FortiSIEM 7.5.0 (CVSS 9.8 לפי NVD, לא ב-CISA KEV, EPSS נמוך).

תוקף ללא הרשאות מתחבר לשירות ה-gRPC בפורט TCP 27918, מנצל היעדר אימות נתיב והזרקת NUL-byte בפרמטר query-id של ה-handler בשם QueryResultReq, ודורס קובץ שרירותי. ה-PoC הופך את הכתיבה ל-RCE באמצעות החלפת סקריפט ה-health-check של Redis בנתיב /opt/charting/redishb.sh, שרץ כל 60 שניות דרך cron.

מי מושפע

סביבות FortiSIEM בגרסה 7.5.0. גרסה 7.6 אינה מושפעת; התיקון נמצא ב-7.5.1 ומעלה. כל ממשק ניהול החשוף לאינטרנט או לרשת ומאזין על 27918 נמצא בסיכון מיידי מרגע שה-PoC יצא לציבור.

למה זה חשוב

ביצוע קוד מרחוק ללא אימות על appliance של SIEM מעניק לתוקף נראות מלאה ללוגי האבטחה ואחיזה עם הרשאות גבוהות בתוך סביבת תפעול האבטחה. PoC ציבורי מעלה דרמטית את הסיכוי לסריקה ולניצול אופורטוניסטיים, גם כשניצול בפועל טרם אושר ב-KEV.

איך אפשר היה למנוע את זה

עדכנו את FortiSIEM 7.5.0 ל-7.5.1 או מאוחר יותר באופן מיידי. הגבילו את הגישה לפורט TCP 27918 לרשתות ניהול מהימנות בלבד, נטרו תעבורת gRPC חריגה או שינויים בלתי צפויים ב-/opt/charting/redishb.sh ובסקריפטים קשורים, ועיינו ב-advisory של Fortinet מספר FG-IR-26-180 להנחיות נוספות.

מה קרה

פרטים טכניים על שתי פגיעויות PHP קריטיות, שכונו בפומבי PHP2Shell וכל אחת מהן מדורגת CVSS 9.2, דלפו לרשת לפני הגילוי המתואם והתיקונים שתוזמנו ל-14:00 UTC ב-21 באוקטובר 2026.

PHP קראה לכל המשתמשים להתכונן לשדרוגים מיידיים. לפי דיווחים, הבעיות עלולות להוביל לביצוע קוד מרחוק ללא אימות ועשויות להשפיע על גרסאות PHP מ-5 ואילך. WatchTowr אישרה שהפגיעויות אמיתיות לאחר שחזור, אך לא פרסמה פרטים. Huntress ואחרים טרם ראו ניצול בשטח, ו-Sansec צופה התקפות המוניות תוך דקות משחרור התיקון.

מי מושפע

למעשה כל התקנת PHP החשופה לאינטרנט שעדיין רצה קוד ללא תיקון, כולל מערכות CMS ו-frameworks פופולריים כמו WordPress, Drupal, Laravel, Magento, Joomla ורבות אחרות. ענפים ישנים שאינם נתמכים עלולים להישאר ללא תיקונים רשמיים וידרשו שדרוג לקווים נתמכים.

למה זה חשוב

PHP מפעילה חלק עצום מהאינטרנט. דליפת פרטי RCE קריטיים לפני התיקון מייצרת היסטורית סריקה וניצול המוניים מהירים ברגע שמופיעים התיקונים (ולכן גם PoC מבוססי diff). למגינים נותרות שעות בודדות להתכונן ולהחיל עדכונים לפני שקמפיינים אופורטוניסטיים מתחילים.

איך אפשר היה למנוע את זה

הכינו עכשיו מערכות staging ו-production כדי שיהיה אפשר להתקין את חבילות PHP המתוקנות ברגע שיפורסמו ב-php.net או דרך ההפצה שלכם. שקלו צעדי מיטיגציה זמניים כמו השבתת session.upload_progress אם מחסנית האפליקציה שלכם מאפשרת זאת, ודאו שכללי ה-WAF מעודכנים, ותכננו לשדרג כל גרסת PHP בסוף חיים לגרסה נתמכת מיד לאחר פרסום התיקונים.

מה קרה

גורם איום דובר סינית ניצל את פלטפורמת ה-AI בקוד פתוח Cairn, מסגרת agent כללית, כדי לאוטמט התקפות בסגנון penetration testing נגד יותר מ-1,200 אתרים, ופרץ בהצלחה ליותר מ-100 מהם, כולל אתרים הקשורים ל-John Deere, SharkNinja ו-Cummins.

חוקרי NorForge גילו יותר מ-20 לוחות בקרה זדוניים של Cairn שנחשפו. האשכול הגדול ביותר הריץ יותר מ-1,100 פרויקטי תקיפה שהתמקדו בתשתיות מסחר אלקטרוני ותשלומים. ה-Agents קיבלו הוראות תמציתיות, פעלו באופן אוטונומי כ-23 שעות לכל יעד, השתילו webshells לצורך persistence, ועלותם הוערכה בכ-50 דולר ב-tokens לכל פריצה מוצלחת.

מי מושפע

בעיקר אתרי מסחר אלקטרוני, תשלומים ואתרים ארגוניים בארה"ב, קנדה, אוסטרליה ויפן. בין הקורבנות שזוהו נמנים יצרנים גדולים, וגם אתרים קטנים רבים נפגעו. כל ארגון שיישומי ה-web שלו היו נגישים ופגיעים בחלון הקמפיין של ספטמבר - אוקטובר.

למה זה חשוב

מסגרות AI agent מורידות דרמטית את רף המיומנות ואת עלות העבודה של קמפייני חדירה בקנה מידה גדול. מפעיל בודד יכול כיום להריץ כמויות תעשייתיות של ניצול אוטומטי, אימות ו-persistence במאמץ שוטף מינימלי, ולהפוך את מה שבעבר דרש צוותים לעסק זול ובנפח גבוה.

איך אפשר היה למנוע את זה

הקשיחו יישומי web הפונים לאינטרנט מפני נתיבי תקיפה אוטומטיים נפוצים, נטרו webshells בלתי צפויים או חשבונות admin חדשים, הקפידו לעדכן קוד צד שלישי וקוד מותאם, והתייחסו לכל לוח בקרה של AI agent שחשוף בתשתית שלכם כנכס בסיכון גבוה שחייב אימות והגנה ב-firewall.

מה קרה

תוקפים המזוהים כ-UNC7017 פרצו שוב ושוב לשרתי העדכונים וההתראות השיווקיות של AOMEI בין אפריל ליולי 2026, ושינו בקצרה קבצי קונפיגורציה בחלון של 5 עד 10 דקות בלבד, כך שלקוחות AOMEI Backupper (ולפי דיווחים גם AnyViewer) הורידו והריצו נוזקה.

פרצי שיבוש קצרים שאושרו התרחשו ב-28 במאי, ב-16 ביולי וב-20 ביולי. הנוזקה התקינה Radmin Server לגיטימי לצד הדלת האחורית SHINYROAD, ובחלון אחד השתמשה ב-pop-up בלתי נראה כדי לגנוב hashes של NetNTLM. AOMEI טרם זיהתה או הודיעה ללקוחות שנדבקו, ובתחילה התקשתה לאתר את שורש הבעיה.

מי מושפע

משתמשי AOMEI Backupper בגרסה 8.3.0 ומעלה (החברה טוענת ליותר מ-100 מיליון משתמשים ברחבי העולם), וכן לקוחות AnyViewer שבדקו עדכונים או תוכן שיווקי במהלך חלונות השיבוש הקצרים. הקורבנות שאושרו משתרעים על תחומי IT, טלקום והשכלה גבוהה בכמעט תריסר מדינות. המספר האמיתי כנראה גבוה יותר בגלל תקופות החשיפה הקצרות.

למה זה חשוב

תוכנות גיבוי רצות בהרשאות גבוהות, רואות כל קובץ, וזוכות לאמון גם של משתמשים וגם של כלי אבטחה. שיבוש קצר טווח בשרשרת האספקה עוקף סריקות point-in-time מסורתיות ומשאיר כמעט ללא שאריות פורנזיות בצד הספק אחרי שחזור הקבצים המקוריים, מה שהופך את הזיהוי ואת ההודעה לקורבנות לקשים במיוחד.

איך אפשר היה למנוע את זה

חפשו ב-endpoints את המשימות המתוזמנות RadminComponentRuntime ו-NitroRuntime, את הקבצים תחת %LOCALAPPDATA%\Radmin ו-%LOCALAPPDATA%\Nitro Pro, ואת אינדיקטורי הרשת שפרסמו Google ו-ManageEngine. הסירו כל עותק לא מורשה של Radmin, אפסו פרטי הזדהות אם יש חשד לגניבת NTLM, והתייחסו לתעבורת העדכונים של AOMEI בחשדנות מוגברת עד שהחברה תאשר תיקון מלא ותתחיל בהודעות ללקוחות.

מה קרה

חובבנים וחוקרים משתמשים יותר ויותר בסוכני קוד מבוססי AI ובכלים ייעודיים כמו הפרויקט הוויראלי Reverse Engineer Anything כדי לבצע decompiling, reverse engineering ומימוש מחדש של firmware ותוכנה במכשירי צריכה.

הדוגמאות כוללות הסרת פרסומות ותוכן מיותר מטלוויזיות חכמות, החזרה לחיים של מראות Lululemon שנחסמו, הפיכת מסגרות תמונה ליומנים, ושכפול אלגוריתמים קנייניים מחומרה כמו פדלים לגיטרה, לעתים קרובות עם מספר דגם או binary dump בלבד כקלט. אותן טכניקות שמאפשרות תיקונים מועילים מורידות גם את הרף לשינוי לא מורשה ולשימוש לרעה פוטנציאלי.

מי מושפע

בעלי מכשירי IoT ואלקטרוניקה צרכנית שה-firmware שלהם עובר שינוי (טלוויזיות, מסכים, מצלמות, מראות, מכשירי חשמל), וכן הספקים המקוריים שעיצובי התוכנה והחומרה שלהם משוכפלים או משתנים. צוותי אבטחה עלולים להיתקל גם בסיכון משני אם קוד שנוצר ב-AI ומובן חלקית בלבד מותקן בהמשך על מכשירים מחוברים לרשת.

למה זה חשוב

כלי AI מורידים דרמטית את רמת המומחיות ואת הזמן שנדרשו בעבר ל-reverse engineering. בעוד ששימושים רבים משחזרים פונקציונליות או מסירים telemetry לא רצוי, אותו תהליך עבודה יכול לייצר firmware לא מאובטח או זדוני, להציף קהילות קוד פתוח בשכפולים באיכות נמוכה, ולאיים על מודלים עסקיים שמסתמכים על תוכנה משובצת קניינית.