חדשות סייבר יומיות - 30 באוקטובר 2026

מה קרה

האקרים רוקנו כ-6.3 מיליארד דולר במטבעות קריפטו מארנקים חמים של Binance בלפחות עשר בלוקצ'יינים, בהן Ethereum, Bitcoin, Tron ו-Solana, בחלון של כ-20 דקות שהחל בסביבות 16:00 שעון החוף המזרחי (ET) ב-29 באוקטובר.

TRM Labs, Chainalysis ו-Elliptic, חברות Crypto tracing, קישרו את המבצע לקבוצת התקיפה TraderTraitor מצפון קוריאה על בסיס טקטיקות, תבניות ארנקים ופריצות קריפטו בולטות קודמות. ההכנה כללה משיכות בדיקה קטנות 36 שעות קודם לכן, פריסת קוד ותרגולים על ארנקי בדיקה לפני הריקון העיקרי מארנקים חמים בסביבת הייצור. Binance השעתה הפקדות ומשיכות; כמחצית מהכספים הוקפאו עד כה.

מי מושפע

Binance ולקוחותיה שהנכסים שלהם ישבו בארנקים החמים שרוקנו. הגניבה התפרשה על פני מספר בלוקצ'יינים מרכזיים, ומנתחים מכנים אותה פריצת הקריפטו הגדולה ביותר שתועדה.

גורמי איום המקושרים לצפון קוריאה תקפו שוב ושוב חברות קריפטו; האירוע הבודד הזה עשוי כמעט להכפיל את סך גניבות הקריפטו הידוע של המשטר עד כה.

למה זה חשוב

ארנקים חמים נשארים יעד בעל ערך גבוה שזמין תמיד ברשת. ריקון מהיר על פני מספר שרשראות ובקנה מידה כזה מעיד על הכנה מתוחכמת ומהירות תפעולית שיכולות להקדים יכולות ניטור והקפאה של בורסות רבות.

מיליארדים עלולים להיות בלתי ניתנים לשחזור ברגע שהועברו, מממנים ישירות גורם מדינתי תחת סנקציות ושוחקים את האמון במשמורת של בורסות מרכזיות. מפעילי כל פלטפורמת קריפטו גדולה חייבים להתייחס לחדירה לארנק חם כסיכון קיומי.

איך אפשר היה למנוע את זה

השאירו את רוב הנכסים באחסון קר או multi-sig, עם מגבלות משיכה קשיחות ועיכובי זמן על ארנקים חמים. הטמיעו זיהוי חריגות בזמן אמת על פני מספר שרשראות, הכינו מראש קשרי הקפאה עם שרשראות מרכזיות ומנפיקי stablecoin, ודרשו אישור של מספר צדדים לצד אימות מחוץ לערוץ לתנועות גדולות. בצעו רוטציה וניטור אגרסיביים של מפתחות ארנקים חמים, ובצעו סגמנטציה של הגישה לבלוקצ'יין.

מה קרה

גרסה מזויפת 2.1.313 של תוסף Claude Code של Anthropic הופיעה ב-marketplace של Open VSX והתקינה דלת אחורית SSH מתמדת על מחשבי מפתחים. חוקרים ב-Phorion מצאו IIFE שהוזרק בתחילת הקובץ extension.js הממוזער, שרץ מיד בטעינה, לפני ה-activate hook הרגיל.

ה-payload מוסיף מפתח SSH של התוקף ל-authorized_keys, פותח מנהרת SSH יוצאת שמנסה שוב כל 60 שניות ושורדת גם אחרי סגירת העורך, ומבסס התמדה אחרי אתחול באמצעות קבצים בסגנון LaunchAgent ב-macOS, cron ב-Linux, או scheduled task ותיקיית Startup ב-Windows. הוא גם מבצע הוצאת נתונים (exfiltration) של hostname, שם משתמש, מערכת הפעלה, תיקיות home ו-working, אימייל Git, IP ציבורי, ושמות של עד 40 משתני סביבה שנראים כמו סודות או פרטי הזדהות לענן.

מי מושפע

משתמשים בעורכים תואמי VS Code שמושכים הרחבות מ-Open VSX, ובראשם Cursor ו-Windsurf. Cursor דיווחה שהגרסה הזדונית הייתה זמינה ב-marketplace שלה כ-11 שעות, והעריכה כי עד 5,000 משתמשים עלולים להיות מושפעים. ב-Visual Studio Marketplace הרשמי של Microsoft לא דווח על עותק זדוני.

ההשפעה גבוהה ביותר במכונות שבהן SSH או Remote Login כבר מופעלים; בדיקת הרשאות לקויה מנעה לעיתים קרובות את ההפעלה ב-macOS.

למה זה חשוב

תחנות עבודה של מפתחים מחזיקות קוד מקור, פרטי הזדהות לענן, מפתחות SSH ו-tokens של CI. דלת אחורית שקטה בשרשרת האספקה בתוך תוסף AI פופולרי לקידוד מעניקה גישה אינטראקטיבית לטווח ארוך ומלאי מוכן של hosts לתקיפה הבאה.

Open VSX משמש כחנות ברירת המחדל עבור forks רבים של VS Code שאינם של Microsoft, כך שרדיוס הפגיעה מתרחב מעבר למשתמשי VS Code הקלאסיים אל אקוסיסטם ה-IDE בסיוע AI שגדל.

מה קרה

תוקפים ניצלו את פגיעות Authentication bypass הקריטית CVE-2026-20127 (CVSS 10.0) ב-Cisco Catalyst SD-WAN Controllers, Managers ו-Validators כדי להתקין נוזקה מותאמת בשם KeyDrift. הפגיעות, שתוקנה בפברואר, מאפשרת לתוקף מרוחק ללא הרשאות להשיג גישה בהרשאות גבוהות.

רכיב LittleFilch של KeyDrift מצמיד hook לתהליך vdaemon אחרי פענוח כדי לגנוב חומר מפתחות AES-256 שה-Controllers מפיצים ל-edge routers, מצפין את השלל ב-RSA ויכול לבצע הוצאת נתונים (exfiltration). Loader בשם PolyFlame מוזרק דרך סקריפטי runit ששונו. Cisco Talos עוקבת אחרי מפעילי KeyDrift תחת השם UAT-11473; ניצול מוקדם יותר של אותו CVE תועד כ-UAT-8616. ה-CVE נמצא ב-CISA KEV ומאושר כמנוצל בפועל.

מי מושפע

ארגונים שמריצים Cisco Catalyst SD-WAN Controllers (לשעבר vSmart), Managers (vManage) ו-Validators (vBond) ללא תיקון. היעדים ש-Talos זיהתה כוללים שירותי חלל ולוויינים, ביטחון ותעופה וחלל, ומחקרי מדיניות.

קיימת חפיפה תשתיתית עם בוטנט Silent Train שקושר בעבר לפעילות Volt Typhoon. Lumen דיווחה על ניצול מתמשך של ה-CVE עד סוף 2025 וגם לאחר הגילוי.

למה זה חשוב

בקרי ה-SD-WAN יושבים במרכז תעבורת site-to-site מוצפנת. גניבת מפתחות ה-AES מאפשרת לתוקף לפענח או לתפעל תעבורה בין סניפים בלי ניצול נוסף של ה-edges.

עקיפת אימות ללא הזדהות בדירוג CVSS 10 על ה-control plane של תשתית רשת קריטית, יחד עם נוזקה ייעודית לגניבת מפתחות וקשרים אפשריים לגורם מדינתי, יוצרת גם חדירה מיידית וגם סיכון ריגול לטווח ארוך.

איך אפשר היה למנוע את זה

עדכנו מיד את כל ה-Catalyst SD-WAN Controllers, Managers ו-Validators לגרסאות המתוקנות. הגבילו גישת management ו-control-plane לרשתות מהימנות בלבד, נטרו שינויים לא צפויים בסקריפטי runit או תהליכים מוזרקים ב-vdaemon, ובצעו רוטציה לכל מפתח שעלול היה להיחשף. עברו על הנחיות CISA KEV והחילו בקרות רשת מפצות אם העדכון מתעכב.

מה קרה

Palo Alto Networks התריעה על ניצול פעיל של פגיעויות PHP2Shell CVE-2026-109618 (CVSS 9.8) ו-CVE-2026-109619 (CVSS 8.1) נגד ממשקי management של PAN-OS החשופים לאינטרנט. הפגיעויות מאפשרות הרצת קוד מרחוק ללא הזדהות דרך באגים בטיפול בזיכרון של בקשות PHP, ותוקנו ב-upstream ב-PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35.

חוקרים ב-Dream זיהו גורם איום החשוד כקשור לסין ששרשר אותן עם הסלמת הרשאות מקומית בקרנל Linux בשם Fragnesia (CVE-2026-46300, CVSS 7.8) כדי להשיג הרשאות root בלפחות 25 שרתים בארה"ב, יפן, טייוואן ודרום קוריאה, כולל שלושה בסביבה הקשורה לממשל האמריקאי, ואז עבר לגניבת פרטי הזדהות של Active Directory ולמיפוי. שלושת ה-CVEs נמצאים ב-CISA KEV ומאושרים כמנוצלים בפועל.

מי מושפע

כל ארגון שממשק ה-web UI של management ב-PAN-OS או ה-XML API שלו נגישים מהאינטרנט. טווחי הגרסאות המושפעות כוללים מספר מהדורות 11.1, 11.2, 12.1 ו-12.2 שלפני ה-hotfixes המפורטים. לא נדרשת קונפיגורציה מיוחדת מעבר לחשיפת ממשק ה-management.

ממשקי Dataplane מושפעים רק אם מצורף אליהם management profile.

למה זה חשוב

מישורי management של חומות אש החשופים לאינטרנט הם יעדים בעלי ערך גבוה. שרשור RCE ללא הזדהות עם LPE בקרנל מעניק שליטת root מלאה, ואחריה תוקפים יכולים להשתיל webshells, לשלוף פרטי הזדהות ולזנק לסביבות Active Directory פנימיות.

ניצול מאושר נגד מערכות הקשורות לממשל והוספה מהירה ל-KEV מדגישים את הדחיפות לכל מפעיל שעדיין חושף את ה-management של PAN-OS לאינטרנט הציבורי.

איך אפשר היה למנוע את זה

החילו מיד את מהדורות PAN-OS המתוקנות (12.2.4-h1 ומעלה, וה-hotfixes המקבילים ל-12.1/11.2/11.1). הגבילו גישה לממשק ה-management לרשתות פנימיות מהימנות או לרשתות jump-host בלבד; לעולם אל תחשפו אותו לאינטרנט. נטרו פעילות PHP או webshell חריגה ועברו על מועדי היעד של CISA KEV. בצעו רוטציה לפרטי הזדהות אם יש חשד לחדירה.

מה קרה

CISA הוסיפה שתי פגיעויות שמנוצלות בפועל לקטלוג Known Exploited Vulnerabilities שלה. CVE-2026-97229 (CVSS 10.0) היא פגיעות integer overflow / wraparound ב-GitLab CE/EE שמאפשרת לתוקף ללא הרשאות להשיג הרצת קוד מרחוק באמצעות ביטוי רגולרי שנבנה במיוחד בקונפיגורציית CI/CD. הפגיעות משפיעה על גרסאות 19.2 עד לפני 19.2.8, 19.3 עד לפני 19.3.5, ו-19.4 עד לפני 19.4.2.

CVE-2026-76418 (CVSS 8.6) היא פגיעות של ערך החזרה שלא נבדק שמובילה ל-NULL pointer dereference ב-Cisco Secure Firewall ASA וב-FTD Software, ומאפשרת לתוקף מרוחק ללא הרשאות לגרום לטעינה מחדש של ההתקן ולמצב מניעת שירות. Cisco אישרה ניצול בפועל של הפגיעות במוצריה מוקדם יותר החודש. Alpine Linux תיארה בפומבי ניסיון תקיפה שנמנע ברגע האחרון נגד סביבת ה-GitLab שלה באמצעות ה-RCE.

מי מושפע

ארגונים שמריצים GitLab CE/EE לא מעודכן בטווחי 19.2 עד 19.4, ובמיוחד סביבות שמקבלות קונפיגורציית CI/CD ממקורות פחות מהימנים. וכן כל סביבה שמשתמשת ב-Cisco Secure Firewall ASA או FTD Software בגרסאות פגיעות עם Remote Access SSL VPN מופעל.

לסוכנויות Federal Civilian Executive Branch יש מועד יעד לתיקון ב-1 בנובמבר 2026.

למה זה חשוב

RCE ללא הזדהות בשרת GitLab מעניק שליטה מלאה על קוד המקור, סודות CI, runners וצינורות שרשרת אספקה. DoS פשוט נגד חומות אש היקפיות יכול לשבש גישה מרחוק וזמינות רשת בקנה מידה רחב.

רישום ב-KEV מסמן ניצול מאומת בשטח ויוצר מועד יעד קשיח לעמידה ברגולציה עבור סוכנויות פדרליות, ובמקביל משמש אות תעדוף ברור לכל השאר.

איך אפשר היה למנוע את זה

עדכנו את GitLab ל-19.2.8, 19.3.5, 19.4.2 או גרסה מאוחרת יותר באופן מיידי. החילו את גרסאות התיקון של Cisco ASA/FTD שמטפלות ב-CVE-2026-76418. הגבילו את מקורות קונפיגורציית ה-CI/CD, נטרו קריסות של GitLab workers, והציבו את שירותי ניהול חומת האש וה-VPN מאחורי בקרות גישה נוספות במידת האפשר. עקבו אחר CISA KEV ללוחות הזמנים המחייבים של הסוכנויות הפדרליות.

מה קרה

Drupal הזהירה שגורמי איום מנצלים בפועל פגיעות קריטית ביותר של היעדר הרשאה ב-Commerce Core, במעקב כ-CVE-2026-118539. הפגיעות משפיעה על גרסאות מ-0.0.0 עד 2.41 ומ-3.0.0 עד 3.3.13, ואינה מגנה על נתיבים ועל שדות ישות מסוימים.

ניצול מוצלח יכול להוביל לעקיפת גישה עם השפעה כספית ישירה על הסוחר, כמו צפייה או מניפולציה לא מורשית של הזמנות, תשלומים או נתוני לקוחות. Drupal מסרה שהבעיה מנוצלת בשטח אך לא פרסמה פרטי קמפיין נוספים. ה-CVE אינו רשום כרגע ב-CISA KEV.

מי מושפע

אתרים שמריצים Drupal Commerce Core בטווחי הגרסאות שצוינו וחושפים את ה-routes או את שדות ה-entity הפגיעים. Commerce Core מפעיל את פונקציונליות עגלת הקניות וה-checkout, כך שכל אתר מסחר שמשתמש במודול חשוף פוטנציאלית עד להחלת התיקון.

היקף הניצול המדויק לא פורסם.

למה זה חשוב

פלטפורמות e-commerce מטפלות בזרימות תשלום, בנתוני הזמנות וב-PII של לקוחות. עקיפת הרשאות יכולה לאפשר לתוקפים לצפות בעסקאות או לשנות אותן, ליצור הזמנות מזויפות או לשלוף רשומות פיננסיות בלי אימות.

גם בלי מספר CVSS פומבי, הסיווג של Drupal כ"קריטית מאוד" ו"מנוצלת בפועל" מחייב את המפעילים להתייחס לכך כאל תיקון חירום.

איך אפשר היה למנוע את זה

עדכנו מיד ל-Commerce Core 3.3.13 (עבור 3.x) או ל-8.x-2.41 (עבור הקווים המוקדמים יותר). בדקו לוגים לאיתור גישה בלתי צפויה ל-routes של commerce ולשדות entity, סקרו הזמנות אחרונות לאיתור חריגות, והגבילו גישה מנהלית וגישת API ככל האפשר עד לאישור התיקון.

מה קרה

Polymarket עצרה את המסחר בפלטפורמה הבינלאומית שלה אחרי שמשתמשים דיווחו על משיכות לא מורשות. DebugBear, ספקית צד שלישי לניטור ביצועי אתרים, נפרצה והזריקה JavaScript זדוני שחטף סשנים מחוברים של Polymarket.

הסקריפט איתר כלי מסחר ותיקים, ואז מכר פוזיציות והעביר את התמורה או שלח position tokens ישירות לכתובת בשליטת התוקף. הוא ניצל את סמכות הסשן הקיימת בדפדפן במקום לגנוב seed phrases או מפתחות פרטיים. חוקרים זיהו כ-2.19 מיליון דולר בכתובת fallback מקודדת קשיח; Polymarket הצהירה שתפצה את המשתמשים שנפגעו. הפלטפורמה בארה"ב לא הושפעה, לפי דיווחים.

מי מושפע

סוחרים באתר הבינלאומי של Polymarket (Polymarket.com) שהיו מחוברים בזמן שה-snippet הזדוני של DebugBear לניטור משתמשים אמיתיים (RUM) היה פעיל. גם לקוחות DebugBear שמשתמשים במוצר ה-RUM שלה הועמדו בסיכון וקיבלו המלצה להסיר את ה-snippet.

מספר הקורבנות המדויק לא נחשף; ההפסדים עלו על 2 מיליון דולר לפי תצפיות on-chain.

למה זה חשוב

אפליקציות web מודרניות טוענות באופן שגרתי סקריפטי analytics וניטור של צד שלישי שרצים עם גישה מלאה לדף המאומת. ספק יחיד שנפרץ יכול להפוך כל אתר לקוח לנקודת הפצה לנוזקה שחוטפת סשנים.

ב-DeFi ובשווקי תחזיות התוצאה היא גניבה ישירה ובלתי הפיכה של כספי משתמשים, שכופה על הפלטפורמה הקפאות חירום ופיצויים ופוגעת באמון באקוסיסטם הרחב יותר.

איך אפשר היה למנוע את זה

הסירו או בודדו סקריפטי RUM ו-analytics של צד שלישי מדפים מאומתים בעלי ערך גבוה; העדיפו תגיות self-hosted או תגיות ברשימת allow-list קפדנית עם Subresource Integrity. יישמו סימולציית עסקאות, מגבלות הוצאה ואישור out-of-band למשיכות. נטרו שינויים בלתי צפויים בסקריפטים והחזיקו kill-switches מהירים לתלויות צד שלישי. סקרו עסקאות אחרונות ובטלו approvals במקומות שבהם זה נתמך.