חדשות סייבר יומיות - 22 בספטמבר 2026

מה קרה

פגיעות בליבת WordPress אפשרה למבקר אנונימי לשלוח תגובה שמכילה סקריפט מוסתר. כשמנהל מערכת מחובר צפה בדף בהמשך, הסקריפט רץ בדפדפן שלו ויכול היה לנצל את סשן ה-admin כדי להעלות תוסף זדוני עם web shell, ולהשיג הרצת קוד מרחוק (RCE) בשרת.

הפגיעות, שמזוהה כ-CVE-2026-93485 ומכונה Comment2Shell, נבעה מפער בין סינון התגובות בשמירה לבין עיצוב מחדש בהצגה. שבירת שורה בתוך מאפיין מותר של תג HTML גרמה לפיצול התג, כך שטקסט בשליטת התוקף הפך ל-event handler חי שרץ אוטומטית בטעינת הדף. WordPress תיקנה את הפגיעות ב-17 בספטמבר בגרסה 7.1.1. אין ראיות לניצול בפועל והיא לא מופיעה ב-CISA KEV. Patchstack דירגה אותה ב-CVSS 7.1.

מי מושפע

אתרי WordPress שמריצים גרסאות 4.7 עד 7.1. הגרסאות המתוקנות כוללות את 7.1.1, 7.0.5, 6.9.8 ותיקונים מקבילים עד 4.7.36.

המתקפה דרשה שתגובות יהיו גלויות (ערכות block הן ברירת המחדל מאז Twenty Twenty-Two; גם חלק מהערכות הקלאסיות כמו Twenty Twenty-One הושפעו) ועבדה בצורה הטובה ביותר כשאפשר היה לעקוף את מודרציית התגובות. אתרים עם תגובות פתוחות או במודרציה חלשה, ומנהלי מערכת שצופים בדפי front-end, היו החשופים ביותר.

למה זה חשוב

כותבי תגובות אנונימיים יכלו לשתול XSS מתמשך שמסלים לשליטה מלאה בשרת ברגע שמנהל מערכת צופה בדף. העלאת תוסף דרך סשן ה-admin היא נתיב מוכר ל-web shell.

WordPress מפעילה חלק עצום מהאינטרנט. גם בלי שימוש מאושר בשטח, הרף הנמוך לשתילה הראשונית והתשואה הגבוהה של RCE ברמת admin הופכים עדכון מיידי לחיוני למפעילים.

איך אפשר היה למנוע את זה

עדכנו מיד ל-WordPress 7.1.1 או לגרסה המתוקנת העדכנית ביותר בענף שלכם (7.0.5, 6.9.8, או התיקון המתאים עד 4.7.36).

אם אינכם יכולים לעדכן מיד, השביתו תגובות בכל האתר או סגרו אותן בפוסטים בודדים. התייחסו למודרציית תגובות כנוחות, לא כגבול אבטחה. נטרו העלאות תוספים בלתי צפויות ובדקו יומני פעילות של מנהלי מערכת.

מה קרה

CISA הוסיפה שלוש פגיעויות בקרנל של Linux לקטלוג Known Exploited Vulnerabilities שלה והורתה לסוכנויות פדרליות לתקן אותן מיד, ובכך אישרה ניצול בפועל בשטח. פרטי התקריות וגורמי האיום לא פורסמו.

CVE-2025-39964 (CVSS 7.8) היא פגיעות מסוג race condition בת 14 שנה בממשק ה-socket הקריפטוגרפי AF_ALG, שיכולה להשחית state, להפיל מערכות או לשנות תוצאות crypto ולאפשר הסלמת הרשאות וגם בריחה מקונטיינר. CVE-2026-53266 (CVSS 8.8) היא כתיבה מחוץ לגבולות ב-ebtables SNAT שיכולה לשכתב זיכרון משותף המגובה בקבצים. CVE-2025-39682 (CVSS 9.8) היא פגיעות שמטפלת באופן שגוי ברשומות TLS באורך אפס בנתיב הקבלה כשמשתמשים ב-kTLS, ועלולה לערבב סוגי רשומות. קיימים אקספלויטים ציבוריים לפחות לשתיים מהפגיעויות. שלושתן דורשות triage פורנזי של הנכסים המושפעים.

מי מושפע

כל מערכת שמריצה קרנל Linux לא מתוקן שכולל את נתיבי הקוד המושפעים של AF_ALG, ebtables או kTLS. זה מכסה מגוון רחב של שרתים, קונטיינרים, סביבות ענן ומכשירים בכל ההפצות.

סוכנויות אזרחיות פדרליות ניצבות בפני מועד יעד קשיח; ארגונים ומפעילי ענן שמריצים עומסי עבודה על Linux חשופים באותה מידה לנוכח ניצול מאושר וקוד אקספלויט זמין.

למה זה חשוב

באגים בקרנל עם ניצול בפועל ו-proof-of-concept ציבוריים מעניקים לתוקפים נתיב ישיר להסלמת הרשאות, בריחה מקונטיינר או מניעת שירות. פגיעות TLS בדירוג קריטי 9.8 לצד שתי פגיעויות בחומרה גבוהה מעלות את הסיכוי למיקוד נרחב.

מפעילי סביבות multi-tenant או מבוססות קונטיינרים ניצבים בפני סיכון מוגבר, כי מארח בודד שנפרץ יכול להשפיע על עומסי עבודה רבים. סיווג העדיפות הגבוהה ביותר של CISA מסמן שנדרשת פעולה מיידית.

איך אפשר היה למנוע את זה

החילו ללא דיחוי את עדכוני האבטחה העדכניים ביותר לקרנל מספק ההפצה שלכם. תעדפו מערכות שחושפות sockets של AF_ALG, bridge netfilter/ebtables או kernel TLS.

לאחר העדכון, בצעו triage פורנזי לאיתור סימנים לניצול קודם לפי הנחיית CISA. במקומות שבהם עדכון מיידי אינו אפשרי, הגבילו גישה מקומית, השביתו תכונות קריפטוגרפיות או netfilter שאינן בשימוש, ונטרו הסלמות הרשאות חריגות או בריחות מקונטיינר.

מה קרה

גורם איום דובר סינית ניצל את CVE-2026-7273, פגיעות stack-based buffer overflow במתגי Zyxel GS1900 Smart Managed, ופרץ ל-996 מכשירים ב-48 מדינות. הוא חילץ קונפיגורציות, נתוני רשת ו-hashed root credentials. GreyNoise זיהתה את הפעילות סביב 17 באוגוסט.

הפגיעות (CVSS 8.8) מאפשרת לתוקף ללא הרשאות ברשת ה-LAN להריץ פקודות OS דרך בקשת HTTP שנבנתה במיוחד בקושחה 2.90 ומוקדמת יותר. Zyxel פרסמה תיקון ביוני 2026. האקספלויט הגיע בסקריפט Python מעורפל בכבדות (PyArmor) שמיקד בעיקר את GS1900-24 בקושחה 2.10-2.90, אך כלל גם אפשרויות לדגמים נוספים. 564 מהקורבנות עדיין השתמשו בפרטי הזדהות של ברירת מחדל מהמפעל. CISA הוסיפה את ה-CVE ל-KEV עם מועד יעד לתיקון ב-24 בספטמבר עבור סוכנויות פדרליות. אותו גורם או גורם קשור תקף בעבר WordPress דרך CVE-ים אחרים וסביבות Gitea החשופות לאינטרנט.

מי מושפע

ארגונים ועסקים קטנים שמריצים מתגי Zyxel מסדרת GS1900 Gigabit Ethernet ללא תיקון (נפוצים במשרדים, בתי ספר, בתי מלון וקמעונאות). הקורבנות התרכזו באיטליה, ארה"ב, טייוואן, דרום קוריאה ומדינות נוספות באיחוד האירופי.

כל מכשיר נגיש מ-LAN בקושחה עד 2.90(XXXX.1)C0 היה חשוף. מכשירים עם פרטי הזדהות של ברירת מחדל היו יעדים קלים במיוחד.

למה זה חשוב

מתגים שנפרצו מעניקים לתוקפים נראות לרשת, חומר של פרטי הזדהות ונקודת אחיזה לתנועה רוחבית או גישה מתמשכת בתוך סביבות SMB ושוק הביניים. קונפיגורציות ו-root hashes שחולצו מאפשרים שימוש לרעה נוסף גם אחרי שה-shell הראשוני אבד.

הקמפיין מתקשר לחדירות קודמות ב-WordPress וב-Gitea, ומעיד על גורם גמיש שנוח לו לעבוד מול משפחות מוצרים מרובות. התקני רשת לרוב מתעדכנים באיחור ויושבים בנקודות צוואר בקבוק קריטיות של תעבורה.

איך אפשר היה למנוע את זה

עדכנו מתגי GS1900 לקושחה המתוקנת שפורסמה ביוני 2026 או מאוחרת יותר. החליפו מיד כל פרטי הזדהות של ברירת מחדל והגבילו ממשקי ניהול ל-VLAN-ים מהימנים או ל-jump hosts.

חפשו IoC-ים שסיפקה GreyNoise, שינויי קונפיגורציה בלתי צפויים וחיבורי יוצא מכתובות IP של ניהול המתגים. בצעו סגמנטציה לרשתות ניהול המתגים ונטרו בקשות HTTP חריגות ל-endpoints של CGI.

מה קרה

תוקפים השתלטו לזמן קצר על חשבון ה-maintainer של חבילת npm בשם @dforge-core/dforge-mcp ופרסמו גרסה זדונית (0.2.21) שנשאה provenance תקף של trusted publishing. החבילה כללה loader שלא נראה קודם בשם GHAPPIER.

החלון נמשך כ-35 דקות ב-9 בספטמבר, אחרי ניסיון כושל של 0.2.20. התוקף שינה את ה-workflow של GitHub Actions כך ש-push ל-main הפעיל פרסומים אוטומטיים דרך OIDC trusted publishing; ה-attestation נשאר בלוג הציבורי של Sigstore. GHAPPIER הוא loader של שורה אחת בתוך קובץ גדול יותר, שמתחיל שרשרת בת ארבעה שלבים ומסתיים ב-remote shell שמוחק את עצמו. הוא מופעל רק כשמריצים את שרת ה-MCP, לא בהתקנה. CloudSEK קישרה ארטיפקטים קשורים ללפחות 65 repositories וציינה payload שני שתואם לקמפיין PolinRider (איסוף פרטי הזדהות דרך עסקאות Ethereum ריקות). לא נמצאו ראיות לחדירה ארגונית מוצלחת, והגרסה הזדונית הוסרה.

מי מושפע

משתמשים ופרויקטים שהתקינו את @dforge-core/dforge-mcp בגרסה 0.2.21, במיוחד אלה שהריצו לאחר מכן את שרת ה-MCP. צרכנים במורד הזרם שהסתמכו על attestations של trusted publishing ב-npm היו חשופים במהלך החלון הקצר שבו הגרסה הייתה חיה.

מפתחים שמכונות או tokens שלהם היו אולי נקודת הכניסה הראשונית (ייתכן דרך extension או חבילה זדוניים), וכל CI אוטומטי שמשך את הגרסה המורעלת.

למה זה חשוב

provenance וחתימות תקפים אינם הוכחה לקוד מקור כשר. גישת push ל-repository הייתה שווה לגישת publish, ועקפה בדיקות audit טיפוסיות של npm. החשיפה הקצרה עדיין זרעה remote shell רב-שלבי והדגימה איך פרטי הזדהות גנובים של maintainer הופכים CI מהימן לווקטור בשרשרת אספקה.

קשרים לתשתית בסגנון PolinRider מעלים אפשרות לקמפיינים רחבים יותר של גניבת פרטי הזדהות שמכוונים למפתחים. קבצי lockfile שנועלים את הגרסה הרעה הופכים לאינדיקטורים מתמשכים.

איך אפשר היה למנוע את זה

נעלו את @dforge-core/dforge-mcp ל-0.2.22 או מאוחרת יותר, וטפלו בכל רשומת lockfile של 0.2.21 כאינדיקטור לחדירה. בצעו רוטציה לכל פרטי הזדהות או tokens שייתכן שהיו על מכונות מפתחים שנפגעו.

הפעילו התראות על שינויים בלתי צפויים בבלוקי ה-trigger של workflow-י release. סרקו ארטיפקטים של השרשרת ולא רק את ה-implant הסופי, והעדיפו אימות בזמן התקנה יחד עם allow-listing ב-runtime לשרתי MCP ודומיהם. בדקו לוגי גישה של GitHub ו-npm עבור חשבון ה-maintainer שנפגע.

מה קרה

חוקרים מ-i2CAT, מאוניברסיטת מורסיה ומ-NEC Laboratories Europe בנו את 5G-Shark, כלי זול המבוסס על תוכנה בקוד פתוח וחומרת software-defined radio זולה. הכלי מפתה טלפון להתחבר לתחנת בסיס מזויפת דרך cell reselection רגיל (בלי שיבוש ובלי מנות פגומות) ואז שולח אליו שאילתות.

ברשתות 5G standalone מסחריות שנבדקו, הסתרת הזהות הקבועה (SUPI/IMSI) עבדה כמעט בכל המקרים. עם זאת, מזהים זמניים (GUTI) הוקצו מחדש לעתים קרובות בתבניות כמעט רציפות, מה שאפשר לצופה לקשר 84-96 אחוז מהרישומים החוזרים הרצופים של מנוי לפי הערך בלבד ובכך לעקוב אחרי הטלפון לאורך זמן. מפעיל אחד ביצע רנדומיזציה כראוי והוריד את הקישוריות לכ-7 אחוז. הודעות Registration Reject שנבנו במיוחד גם הכריחו מכשירים ל-3G בשירות מוגבל, ללולאות ניסיון חוזר אינסופיות או למודמים קפואים שדורשים איפוס ידני. העבודה היא preprint מחקרי שבודק רשתות אמיתיות.

מי מושפע

מנויי סלולר ברשתות 5G standalone מסחריות שנבדקו (ופוטנציאלית גם ברשתות אחרות עם הקצאת GUTI דומה). טלפונים מיצרנים שונים, כולל Samsung Galaxy S23 שהציג התנהגויות של מניעת שירות.

מפעילים שההקצאה מחדש של GUTI אצלם ניתנת לחיזוי, ויצרני מכשירים שקושחת המודם שלהם מטפלת באופן שגוי בקודי reject מסוימים.

למה זה חשוב

5G תוכנן כדי לסכל IMSI catchers קלאסיים, אך בחירות של מפעילים סביב רוטציה של זהות זמנית מחזירות מעקב מעשי לשטח. תא מזויף זול שנראה פסיבי יכול לעקוב אחרי יעד בלי אינטראקציה מצד המשתמש ובלי חשיפת זהות קבועה.

מניעת שירות דרך הודעות reject מצביעה על סיכוני אמינות ובטיחות נוספים. הפער בין מפעיל שביצע רנדומיזציה טובה לבין מפעיל צפוי מוכיח שהתקן משאיר כפתורי פרטיות קריטיים בידי המפעילים.

מה קרה

אחמד חוסאם אלדין אלבדאווי (Ahmed Hossam Eldin Elbadawy), בן 24 מטקסס, הודה באשמה באישומים פדרליים הקשורים לפעילות סחיטה של קבוצת פשיעת הסייבר Scattered Spider. ההודאה, שהוגשה כשנה קודם לכן, הפכה לפומבית דרך הגשות בית משפט אחרונות שמבקשות חילוט של תקבולי הפשע.

אלבדאווי פעל עם שותפיו לקשר נואה מייקל אורבן (Noah Michael Urban) וטיילר רוברט ביוקנן (Tyler Robert Buchanan) כחלק מתת-קבוצה אגרסיבית של The Com. הקבוצה השתמשה בהנדסה חברתית כדי להשיג פרטי הזדהות ולגנוב מידע רגיש, תוך מיקוד באנשים בעלי הון גבוה שמחזיקים במטבע וירטואלי משמעותי. לפחות 12 חברות במגזרי הבידור, הטלקום, הטכנולוגיה והמטבע הווירטואלי זוהו כקורבנות. הצוות גנב מטבעות קריפטו בשווי מיליוני דולרים בגניבות בולטות בין 2021 ל-2022. התביעה מבקשת חילוט של יותר מ-17 מיליון דולר במטבעות קריפטו וכן נכסי יוקרה.

מי מושפע

לפחות 12 החברות והאנשים בעלי ההון הגבוה שנתקפו בין 2021 ל-2022, במגזרי הבידור, הטלקום, הטכנולוגיה והקריפטו. קורבנות שאחזקות המטבע הווירטואלי שלהם או נתונים ארגוניים שלהם נגנבו.

ארגונים נוספים שנותרים יעדים פוטנציאליים של חברי Scattered Spider או The Com שטרם נתפסו.

למה זה חשוב

Scattered Spider הייתה אחת מקבוצות הסחיטה האפקטיביות ביותר בשנים האחרונות, והתבססה על הנדסה חברתית. הודאה באשמה ומהלך חילוט רחב ממחישים שתובעים בארה"ב יכולים לפרום את הרשתות האלה ולתפוס את הרווחים גם שנים לאחר מכן.

המקרה מדגיש את הסיכון המתמשך של SIM-swapping, התחזות ל-help desk וגניבת פרטי הזדהות, המכוונים ליעדים עשירים בקריפטו ולמעסיקים שלהם. חברים שנותרו באקוסיסטם עשויים עדיין להיות פעילים.

מה קרה

שירות שיתוף התמונות Gyazo ספג פריצה שנחשפה ב-11 בספטמבר, לאחר שתוקפים ניצלו פגיעות בשרת העלאה. כ-24 מיליון רשומות לקוחות נפגעו, יחד עם כ-490 מיליון רשומות metadata נוספות הקשורות לתמונות.

נתוני ה-metadata שנחשפו כללו מזהי תמונות, כתובות IP מקור, user-agents, נתוני מיקום EXIF, טקסט שחולץ ב-OCR מתמונות, כותרות, כתובות URL של מקור וסיסמאות hashed. מכיוון שניתן לבנות מתוך ה-metadata כתובות URL של תמונות, התאפשרה צפייה לא מורשית בחלק מהתמונות. Gyazo השביתה זמנית את הצפייה בתמונות מסוימות. עיקר ה-metadata שנגנב מתייחס לתמונות שנרשמו בינואר 2019 או קודם לכן. Helpfeel (המפתחת) תיקנה את הפגיעות והמליצה לאפס סיסמאות.

מי מושפע

יותר מ-23 מיליון לקוחות Gyazo, וכל מי שצילומי מסך או תמונות שלו הועלו לשירות, במיוחד מפתחים שנוהגים לצלם טרמינלים, קבצי config, מפתחות API או כלים פנימיים.

משתמשים שבתמונות שלהם נכללו נתוני מיקום EXIF או טקסט רגיש שניתן לקריאה ב-OCR חשופים לסיכון המשך מוגבר, גם אם חלק גדול מהנתונים הוא בן כמה שנים.

למה זה חשוב

Gyazo נפוץ לשיתוף מהיר של צילומי מסך. טקסט OCR הופך פיקסלים לפרטי הזדהות שניתנים לחיפוש, כתובות URL פנימיות, מקטעי קוד ומסמכים. קואורדינטות EXIF יכולות לחשוף מיקומי בית או עבודה. נתונים לבניית URL מאפשרים לצדדים שלישיים לשלוף תמונות שהבעלים סברו שהן חבויות.

גם סודות ישנים שומרים על ערך אם לא בוצעה רוטציה לפרטי הזדהות. האירוע גם מספק חומר לפישינג ממוקד מאוד שמתייחס להעלאות אמיתיות מהעבר.

איך אפשר היה למנוע את זה

משתמשי Gyazo: שנו את הסיסמאות שלכם ב-Gyazo ובכל אתר אחר שבו השתמשתם באותה סיסמה. הפעילו אימות רב-שלבי (MFA) היכן שהוא זמין, ונטרו מיילים של פישינג שמזכירים את Gyazo או צילומי מסך ישנים.

מפתחים: הניחו שכל פרטי הזדהות, tokens או פרטים פנימיים שנראים בצילומי מסך מלפני 2019 עלולים להיות חשופים, ובצעו להם רוטציה. ארגונים: בדקו האם עובדים השתמשו ב-Gyazo לצילומים הקשורים לעבודה שמכילים סודות, וטפלו בחשיפת ה-metadata כאירוע דליפת פרטי הזדהות. הגבילו מכאן ולהבא כלי צילום מסך שמבצעים OCR בענן או שומרים EXIF עשיר.