חדשות סייבר יומיות - 6 בנובמבר 2026

מה קרה

חברת מודיעין האיומים Previdian זיהתה ניצול של עקיפת אימות ב-OpenSSH שעות ספורות אחרי הגילוי, ואישרה השגת גישת root במלכודת דבש על Alpine Linux.

הפגיעות, שמזוהה כ-CVE-2026-123158 (CVSS 8.1 גבוהה) ומכונה sshole, מאפשרת לתוקפים מרוחקים להתחבר לחשבונות מסוימים ללא סיסמה באמצעות כל סיסמה שאורכה מעל 256 תווים. היא תוקנה ב-OpenSSH 10.6p2 ב-5 בנובמבר. הבעיה נובעת מכך ש-crypt() של musl libc מחזיר "*" עבור קלטי SHA-256/SHA-512 ארוכים מדי, ערך שתואם את מציין המקום "*" ב-/etc/shadow עבור חשבונות עם סיסמה מושבתת, בשילוב עם נתיב מיטיגציית תזמון ישן יותר ב-OpenSSH.

Previdian ראתה את הניסיון הראשון פחות מתשע שעות אחרי פרסום ה-CVE, מכתובת IP בודדת ביפן שהשתמשה בסיסמאות ארוכות מהרגיל והריצה פקודות איסוף מידע (reconnaissance). CISA טרם הוסיפה אותה ל-KEV.

מי מושפע

גרסאות OpenSSH לפני 10.6p2 במערכות Linux שמשתמשות ב-musl libc ללא PAM, עם אימות סיסמה מופעל וחשבונות שמחזיקים רק "*" בשדה הסיסמה (ובנוסף לפחות חשבון אחד עם hash אמיתי).

בעיקר Alpine Linux (בניית openssh-server ברירת מחדל), וכן OpenWrt, Buildroot, Yocto ותמונות Docker רבות. חשבונות ללא סיסמה כמו root או משתמשי deploy מבוססי מפתח בלבד נמצאים בסיכון אם הם נגישים בפורט 22.

למה זה חשוב

חיבור בודד מעניק התחברות ללא פרטי הזדהות במערכות קלות ובקונטיינרים שנפרסו בהיקף רחב. תוקפים יכולים לסרוק מיליוני פורטי SSH בעלות נמוכה ולהצליח בכל פעם שהתנאים מתקיימים.

ניצול מהיר בסיוע AI מצמצם את חלון התיקון. מפעילי תשתית מבוססת Alpine, התקני קצה וקונטיינרים ניצבים בפני סיכון מיידי לגישה לא מורשית שמובילה לחדירה מלאה.

איך אפשר היה למנוע את זה

עדכנו ל-OpenSSH 10.6p2 או לחבילות ה-backport של ענף ה-Alpine שלכם (או תיקון מקביל בהפצה שלכם) והפעילו מחדש את sshd.

אם התיקון מתעכב, הגדירו PasswordAuthentication no והסתמכו על מפתחות בלבד. בדקו את /etc/shadow לאיתור חשבונות עם "*" ואשרו ש-PAM בשימוש היכן שאפשר. הגבילו את חשיפת ה-SSH באמצעות חומות אש או jump hosts.

מה קרה

OpenAI פרטה pipeline סוכני המבוסס על מודל AI ייעודי לסייבר שעתיד לצאת, שבריצה באמצע אוקטובר 2026 שנמשכה כ-30 שעות זיהה 2,308 ממצאים מועמדים בקרנל Linux, שחזר באופן דינמי 1,724 פגיעויות, והפיק 948 אקספלויטים עובדים להסלמת הרשאות מקומית (LPE) ועוד 291 PoC של דליפת מידע.

הריצה עלתה 1.2 מיליון דולר בקרדיטי API (בערך 1,279 דולר לכל LPE). הסוכנים גילו לפחות 10 טכניקות ניצול חדשות ב-Linux, כולל שיטות object-spray, page-grooming, data-only ו-type-confusion חדשות. חוקרים אנושיים סקרו את הפלטים לפני הדיווח. זה נבנה על תוצאות קודמות של GPT-5.5-Cyber.

מי מושפע

מתחזקי קרנל Linux, ספקי הפצות, וכל ארגון שמריץ מערכות Linux ללא תיקון שבהן ניתן לשרשר הסלמת הרשאות מקומית אחרי גישה ראשונית.

המחקר כוון להפצת Linux שולחנית נפוצה עם הגנות סטנדרטיות (KASLR, SMEP, SMAP) מופעלות. הממצאים מועברים ל-upstream כתיקונים.

למה זה חשוב

AI בחזית יכול כעת לגלות, לאמת, לנצל ולהחיל תיקונים למאות באגים בקרנל באופן אוטונומי, בקנה מידה ובעלות יחסית נמוכה, ומצמצם את יתרון המגינים.

אותן יכולות זמינות גם לתוקפים, ומעלות את נפח ה-zero-days והטכניקות החדשות הניתנים לשימוש. מפתחים חייבים להניח גילוי מהיר בסיוע AI של פגיעויות שנותרו בקוד הליבה של מערכת ההפעלה.

מה קרה

חוקרים ב-QiAnXin XLab זיהו את CWPdoor, דלת אחורית חשאית ל-Linux שמחליפה את הבינארי הלגיטימי cwpsrv של Control Web Panel (CWP) בגרסה זדונית.

הנוזקה פועלת כדלת אחורית פסיבית, נשארת רדומה עד שהיא מופעלת על ידי בקשת HTTP שנבנתה במיוחד ונושאת כותרות מוצפנות. היא משתמשת בהצפנת AES-256-CBC ובחתימות RSA לביצוע פקודות, תוך דיכוי לוגי השרת. סקריפט התקנה שמתחזה לעדכון מתקין אותה (דורש root מראש). הקמפיין נראה קשור לבוטנט Ebury הוותיק. הדגימות מכוונות ל-cwpsrv 1.15.10 ו-1.24.0.

מי מושפע

שרתי Linux שמריצים Control Web Panel (לשעבר CentOS Web Panel), כלי ניהול אחסון חינמי פופולרי. XLab זיהתה יותר מ-340,000 סביבות CWP חשופות לציבור.

ספקי אחסון ומנהלי שרתי web, דוא"ל ו-DNS מרובי דיירים הם היעדים העיקריים. ראיות לשימוש בפועל כוללות העלאה ל-VirusTotal שמכילה רכיבים של CWPdoor ושל Ebury.

למה זה חשוב

בינארי ליבה שהוחלף מעניק לתוקפים ביצוע פקודות מרחוק בשקט, עם דיכוי לוגים, על שרתים שמנהלים אתרי לקוחות ושירותים רבים.

הקשר ל-Ebury (כמעט 400,000 חדירות היסטוריות) מעלה את היקף ההשפעה הפוטנציאלית. הזיהוי קשה כי הפאנל מתפקד כרגיל עד שמגיעה בקשת הקסם.

איך אפשר היה למנוע את זה

בדקו את ה-socket של ngx_http_integrity_helper, תהליכי helper חשודים, מחרוזות שמכילות X-Ngx-Integrity בבינארי cwpsrv, וגיבויי cwpsrv.prev-* שנותרו.

אם נפרצתם, החליפו את הבינארי הזדוני בגרסה נקייה ממקור מהימן, עדכנו את CWP לגרסה העדכנית ביותר, בצעו רוטציה לכל פרטי ההזדהות הניהוליים, וחפשו Ebury או implants אחרים. הגבילו את חשיפת הפאנל ונטרו את שלמות הבינארי.

מה קרה

שתי פגיעויות ב-Barracuda Email Security Gateway ניתנות לשרשור לביצוע פקודות כ-root ללא הזדהות. watchTowr פירטה את שרשרת התקיפה לאחר ש-Barracuda שחררה תיקונים.

פגיעות CVE-2026-116606 (CVSS 9.3) היא עקיפת הרשאות שמאפשרת לתוקף ללא הזדהות לשחזר גיבוי קונפיגורציה שנבנה במיוחד ולשנות הגדרות גלובליות. פגיעות CVE-2026-111560 (CVSS 8.6) היא הזרקת פקודות בשדה timezone שרצה כ-root אך בדרך כלל דורשת הרשאות admin; עקיפת ההרשאות מספקת את הגישה הזו. אף אחת מהן אינה ב-CISA KEV ולא דווח על ניצול. נתיב שינוי סיסמה כושל מחזיר תפקיד בעל הרשאות נמוכות שמשאיר את שחזור הגיבוי פתוח; הגיבויים משתמשים בסוד checksum מקודד קשיח שניתן לזייף.

מי מושפע

Barracuda Email Security Gateway בגרסאות עד לפני 9.4.0.030 (תוקן ב-9.4.0.030 ואילך). בעיית הזרקת הפקודות משפיעה גם על Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall ו-Web Security Gateway, אך באלה עדיין נדרשת הזדהות admin.

כל ארגון שממשק ה-admin של ה-ESG נגיש בו (במיוחד מהאינטרנט) חשוף לשרשרת המלאה ללא הזדהות.

למה זה חשוב

מוצרי אבטחת דוא"ל יושבים בפרימטר ומעבדים תעבורה רגישה; גישת root מאפשרת לתוקפים להטמיע persistence, להשתמש בשרת כנקודת זינוק, או להשבית סינון.

Barracuda ESG כבר הותקפה בעבר על ידי UNC4841 דרך zero-day אחרת (CVE-2023-2868). root ללא הזדהות על מוצר שפונה לאינטרנט הוא יעד בעל ערך גבוה הן לגורמי כופרה והן לגורמי ריגול.

איך אפשר היה למנוע את זה

החילו מיד את תיקוני הספק או שדרגו ל-firmware מתוקן עבור כל מוצר מושפע. הפעילו מחדש עדכון אוטומטי אם הוא כובה.

אם העדכון מתעכב, הגבילו את ממשק הניהול לרשתות פנימיות מהימנות בלבד. watchTowr שחררה כלי זיהוי לבדיקת סטטוס הפגיעות; השתמשו בו ונטרו שחזורים חריגים של גיבויים או שינויי timezone.

מה קרה

קספרסקי ניתחה חדירה fileless של קבוצת התקיפה Storm-2603, שניצלה פגיעויות ToolShell (CVE-2025-53770, CVSS 9.8 קריטית וב-CISA KEV; CVE-2025-53771) ב-Microsoft SharePoint on-premise.

התוקפים ביצעו fingerprinting ליעד, המתינו ימים, ואז בערב חג המולד שלחו בקשה שנבנתה במיוחד שטענה webshell מודולרי ב-C# במלואו לתוך תהליך ה-worker של IIS (w3wp.exe), בלי קובץ בדיסק. רכיב ה-implant השתמש ב-VirtualPathProvider מותאם, ב-C2 מעורפל (obfuscated) ב-XOR, וב-tunneling מסוג suo5 לתנועה רוחבית. השלבים המאוחרים כללו הסלמת הרשאות, הורדות כלים, דרייבר להשבתת EDR וניסיון כופרה מסוג Warlock שנחסם. הייחוס ל-Storm-2603 הוא ברמת ביטחון בינונית; מיקרוסופט קשרה בעבר את הקבוצה לכופרה מבוססת ToolShell.

מי מושפע

ארגונים שמריצים Microsoft SharePoint Server on-premise ללא תיקון, החשופים לפגיעויות ToolShell של 2025.

כל סביבת SharePoint החשופה לאינטרנט או נגישה מתוך הרשת הפנימית, ושלא הוחלו עליה עדכוני יולי 2025 (והקשחה נוספת לאחר מכן), נותרה חשופה חודשים אחר כך. הקורבנות ניצבים בפני סיכון לחדירה מלאה לדומיין ברגע שמוקם הגשר ה-resident בזיכרון.

למה זה חשוב

הרצה fileless בתוך w3wp.exe עוקפת זיהוי מסורתי מבוסס קבצים ושורדת רק למשך חיי ה-application-domain, ומקשה על הפורנזיקה.

קבוצת התקיפה Storm-2603 משלבת את ה-RCE הקריטי עם יעדי כופרה, והופכת שרת שיתוף פעולה לראש גשר להצפנה. עיכוב בהחלת תיקונים לפגיעויות הרשומות ב-KEV ממשיך לאפשר קמפיינים בעלי השפעה גבוהה.

איך אפשר היה למנוע את זה

ודאו שכל שרתי SharePoint on-premise מעודכנים מול CVE-2025-53770/53771 ופגיעויות ToolShell קשורות; בצעו recycle ל-application pools אחרי החלת התיקון.

נטרו את w3wp.exe לאיתור תהליכי בן חריגים, רישומי VirtualPathProvider חריגים, מנהרות רשת ו-IoCs מוכרים. הגבילו את נקודות הקצה הניהוליות של SharePoint, הפעילו AMSI ו-auditing מתקדם, ופרסו EDR עם יכולות סריקת זיכרון. בצעו ציד אחר ארטיפקטים של post-exploitation גם אם הגישה הראשונית לא השאירה קבצים.

מה קרה

חברת ניתוח הבלוקצ'יין Chainalysis דיווחה שמתקפת סייבר agentic חשפה שמות, שמות משתמש, hashes של סיסמאות ו-tokens חיים של כל המשתמשים. החברה השביתה את Reactor, את Data Solutions, את KYT (UI ו-API), את מוצרי ה-address screening ואת דף ההתחברות בזמן החקירה.

קודם לכן תיארה מתקפת on-path שחשפה חלק מהסיסמאות; החשיפה הרחבה יותר של פרטי הזדהות אושרה מאוחר יותר. לא נמצאו ראיות לכך שבוצעה גישה לנתוני חקירות או לנתוני ייחוס, או שהם שונו. השירותים משוחזרים בשלבים עם allow-listing ואיפוסים מחייבים. האירוע מזכיר מתקפות מונעות AI אחרונות על פלטפורמות אחרות שכללו כלים כמו ARTEX.

מי מושפע

כל משתמשי Chainalysis, כולל צוותי compliance, חוקרים, בורסות ולקוחות אכיפת חוק שמסתמכים על Reactor, KYT, Data Solutions ומוצרים קשורים.

כל מי שעשה שימוש חוזר בפרטי הזדהות של Chainalysis במקומות אחרים חשוף לסיכון של credential stuffing. החברה מודיעה ללקוחות שבחשבונות ה-KYT שלהם זוהתה גישה לא מורשית.

למה זה חשוב

חשיפה של טוקנים פעילים ושל hashes של סיסמאות לכלל בסיס המשתמשים בפלטפורמת crypto-compliance קריטית מאפשרת השתלטות על חשבונות ושימוש לרעה פוטנציאלי בהמשך בכלי סינון או חקירה.

השבתות שירות משבשות תהליכי איסור הלבנת הון ואכיפת חוק. האופי ה-agentic של המתקפה מדגיש עלייה בפעולות התקפיות בסיוע AI נגד יעדי fintech בעלי ערך גבוה.

איך אפשר היה למנוע את זה

אפסו את סיסמאות Chainalysis ובצעו רוטציה לכל מפתחות ה-API ברגע שתשוחזר הגישה. ספקו כתובות IP מהימנות ל-allow-listing לפי ההנחיות.

שנו מיד כל סיסמה ששומשה גם במערכות אחרות. הפעילו Phishing-resistant MFA בכל מקום אפשרי, נטרו התחברויות חריגות, והתייחסו לכל טוקן שנחשף כאל כזה שנפרץ. סקרו גישות צד שלישי והיגיינת סודות.

מה קרה

רשות האישורים DigiCert ספגה דליפת מידע אחרי שמיגרציית שרת בפברואר 2025 חשפה בטעות מערכת עסקית פנימית לאינטרנט בלי הגנת VPN.

במערכת הייתה יכולת self-registration שאפשרה יצירת חשבונות חיצוניים. פגם בהרשאות אפשר אז לחשבונות האלה לקרוא נתוני לקוחות בארכיון בין 27 ביוני ל-2 ביולי 2026. הנתונים שנחשפו כללו שמות, אימיילים עסקיים, מספרי טלפון, כתובות עסקיות, ובמקרים מסוימים מסמכי זהות (דרכונים, רישיונות נהיגה וחשבונות שירות). DigiCert סיווגה תחילה בטעות את החשבונות הלא מורשים, אישרה את החדירה ב-19 באוקטובר, ומודיעה ללקוחות שנפגעו. שירותי הליבה (CertCentral, DigiCert ONE) והאישורים שהונפקו לא הושפעו.

מי מושפע

לקוחות DigiCert שמסמכי הקשר העסקי ומסמכי הזהות הארכיוניים שלהם שכנו במערכת הפנימית שנחשפה. החברה לא פרסמה מספר כולל, אך מתארת זאת כחלק מרשומות הארכיון.

ארגונים שהגישו מסמכי זהות לאימות נמצאים בסיכון גבוה יותר לגניבת זהות או להנדסה חברתית ממוקדת.

למה זה חשוב

גם ארכיון לקריאה בלבד של PII ומסמכי זהות ממשלתיים של לקוחות CA הוא בעל ערך לפישינג, להשתלטות על חשבונות במקומות אחרים או להונאה.

חלון חשיפה של 16 חודשים שנגרם מטעות מיגרציה מדגיש את הסכנה שבחשיפה לא מכוונת לאינטרנט ובזיהוי מאוחר. האמון ברשויות אישורים תלוי בהגנה על נתוני הזהות שהן אוספות.

איך אפשר היה למנוע את זה

DigiCert השביתה את ה-self-registration והחמירה את בקרות הגישה. לקוחות שנפגעו: נטרו סימנים לגניבת זהות, הגישו התראות הונאה אם היו מעורבים מסמכים, והיזהרו מניסיונות הנדסה חברתית שמתייחסים לנתוני DigiCert.

מפעילי מערכות פנימיות דומות: אכפו סגמנטציה ברשת, דרשו גישה ב-VPN או ב-Zero Trust, השביתו self-registration מיותר, יישמו הרשאות מינימליות, ונטרו באופן רציף חשיפה חיצונית בלתי צפויה אחרי מיגרציות.