חדשות סייבר יומיות - 1 בנובמבר 2026

מה קרה

CISA הוסיפה את CVE-2026-111357 ו-CVE-2026-118527 ב-Ivanti Connect Secure לקטלוג ה-KEV שלה ב-30 באוקטובר 2026, ואישרה ניצול בפועל.

הפגיעויות מצטרפות ל-CVE-2026-104935 (CVSS 8.6), עקיפת אימות, בשרשרת של שלוש פגיעויות שתועדה לראשונה על ידי Volexity. השרשרת מאפשרת ביצוע קוד ברמת root ללא הזדהות. הפגיעות CVE-2026-111357 (CVSS 7.0) היא בעיית missing-authentication ב-broker של dsinvoked, שמסלימה ל-root דרך טיפול לקוי בנתוני DSCache. הפגיעות CVE-2026-118527 מאפשרת לתוקף מאומת מרחוק להעלות קבצים בשליטתו למיקום ידוע בדיסק באמצעות מזהים צפויים.

גורם האיום UTA0576 השתמש בשרשרת לחילוץ פרטי הזדהות, לאיסוף מידע (reconnaissance) ב-Active Directory ולחיפוש סיסמאות admin ומפתחות BitLocker, במקום web shells טיפוסיים.

מי מושפע

ארגונים שמריצים Ivanti Connect Secure בגרסה 25.1.1.2 ומטה (תוקן ב-25.1.1.3) או 22.8R2.5 ומטה (תוקן ב-22.8R2.6).

אלה שערי SSL VPN פרוסים בהרחבה. תיקונים מוקדמים ל-CVE-2026-104935 בלבד משאירים מערכות חשופות לשרשרת המלאה.

למה זה חשוב

גישת root ללא הזדהות על התקני VPN בפרימטר מאפשרת השתלטות מלאה על המכשיר, גניבת פרטי הזדהות ותנועה רוחבית לרשתות פנימיות.

סטטוס KEV פעיל ושימוש בשטח על ידי UTA0576 הופכים את זה לעדיפות מיידית לכל מפעיל של תשתית גישה מרחוק.

איך אפשר היה למנוע את זה

עדכנו מיד ל-Ivanti Connect Secure 25.1.1.3 או 22.8R2.6. סוכנויות Federal Civilian Executive Branch חייבות לתקן את CVE-2026-111357 עד 2 בנובמבר 2026 ואת CVE-2026-118527 עד 13 בנובמבר 2026.

החילו את ה-IOCs של הספק, בצעו triage פורנזי על מכשירים חשופים, ונטרו פעילות הזדהות או קונפיגורציה חריגה.

מה קרה

חברת האבטחה Parameter הדגימה שקישור שיתוף ציבורי זדוני ב-ChatGPT יכול להריץ JavaScript של תוקף בתוך סשן הדפדפן המחובר של כל מי שפתח אותו, ולאפשר פעולות מלאות בחשבון כולל קריאת שיחות פרטיות.

החוקרים דיווחו על הבעיה דרך תוכנית ה-bug bounty של OpenAI ב-18 באוקטובר 2026. OpenAI תיקנה אותה עד 26 באוקטובר ודירגה אותה כ-P1. השרשרת השתמשה בתכונת HTML Preview של ChatGPT יחד עם listener של postMessage ב-MathLive שלא אומת, שקיבל HTML גולמי מכל frame, ואז טענה סקריפט מ-origin מורשה של YouTube תחת ה-CSP של האתר.

לא נצפה ניצול בשטח. הבדיקות רצו רק בין חשבונות בשליטת החוקרים.

מי מושפע

כל משתמש web מחובר של ChatGPT שפתח קישור שיתוף שנבנה במיוחד לפני התיקון ב-26 באוקטובר 2026. לא נדרשו התקנה נוספת, הצטרפות ל-workspace או התחברות בשליטת התוקף.

למה זה חשוב

קישור שיתוף בודד יכול היה להעניק שליטה מלאה בחשבון ChatGPT של הקורבן ובנתונים הפרטיים. הבעיה מראה כיצד תכונות frontend מורכבות וספריות צד שלישי יכולות ליצור בריחות sandbox בעלות השפעה גבוהה, גם כשרכיבים בודדים נראים מבודדים.

איך אפשר היה למנוע את זה

הפגיעות תוקנה בצד השרת בכל ממשקי ה-web של ChatGPT. הימנעו מפתיחת קישורי שיחה משותפים שאינם מהימנים, במיוחד כאלה שמפעילים Preview. בדקו פעילות חשבון ואפליקציות מחוברות אם פתחתם שיתופים באמצע אוקטובר 2026. מפתחים שמשתמשים ב-MathLive: אכפו בדיקות origin קפדניות על handlers של postMessage.

מה קרה

ה-FBI, יחד עם ה-U.S. Secret Service ו-IRS Criminal Investigation, ייחסה רשמית את גניבת יותר מ-6.43 מיליארד דולר בנכסים וירטואליים מ-Binance ב-29 באוקטובר 2026 בקירוב, לקבוצת התקיפה TraderTraitor המשויכת לצפון קוריאה (שמנוטרת גם כ-Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces ו-UNC4899).

הנכסים הגנובים הועברו בעיקר ל-Ethereum, וצפויים לעבור הלבנה נוספת דרך שירותי DeFi ו-instant-swap. כ-2.85 מיליארד דולר הוקפאו on-chain על ידי Tether, Circle, Ripple, Arbitrum ו-Optimism. השלל הוא גניבת המטבעות הקריפטוגרפיים הגדולה ביותר שנרשמה, וכמעט מכפיל את סך הגניבות הקריפטו הקודמות של צפון קוריאה.

לקבוצת התקיפה TraderTraitor יש היסטוריה של שודים ממוקדי Web3 באמצעות אפליקציות שמכילות נוזקה והנדסה חברתית, כולל אירועים קודמים נגד Bybit ואחרים.

מי מושפע

Binance ומשתמשיה, לצד מערכת המטבעות הקריפטוגרפיים הרחבה. חברות ניתוח בלוקצ'יין ובורסות שמטפלות בזרימות הגנובות מושפעות גם הן ישירות מפעילות ההלבנה.

למה זה חשוב

ההיקף מממן פעילות מדינתית של צפון קוריאה והתחמקות מסנקציות. הוא מדגים תקיפה ממוקדת מתמשכת ובעלת יכולות גבוהות נגד בורסות מרכזיות, ואת המהירות שבה ניתן להעביר ולערבב נכסים גנובים on-chain.

איך אפשר היה למנוע את זה

פלטפורמות קריפטו, מפעילי nodes, שירותי DeFi וחברות אנליטיקה: חסמו את כתובות הארנקים שפרסם ה-FBI. אכפו בקרות multi-signature, דרישות לארנק חומרה בהעברות גדולות, ניטור עסקאות רציף ובקרות מחמירות לגישה מועדפת. סקרו והקשיחו כל endpoint של DevOps או admin שעלול לאפשר ניקוזים דומים בקנה מידה גדול.

מה קרה

ב-29 באוקטובר 2026, JavaScript זדוני החליף את סקריפט ה-real-user monitoring של DebugBear שנטען ב-Polymarket. הקוד ניצל סשנים של סוחרים שכבר היו מחוברים כדי למכור פוזיציות ולהעביר כספים, והעביר כ-2.64 מיליון דולר ב-POL ובנכסים קשורים מכ-33 ארנקים לכתובת תוקף בפחות משעה.

ה-DNS של DebugBear נפרץ דרך רשם הדומיינים שלו; הקובץ הזדוני כוון רק לסקריפט הספציפי ללקוח של Polymarket. רכיב ה-payload שלף מפתחות מסחר מאחסון הדפדפן, איתר את רכיבי הצבת הפקודות והחתימה בדף, ושלח בקשות חתומות דרך ה-relayer של Polymarket. לא בוצעה הוצאת נתונים (exfiltration) של seed phrases או מפתחות פרטיים.

Polymarket משיבה כ-2.7 מיליון דולר ל-726 ארנקים שנפגעו.

מי מושפע

סוחרים מחוברים ב-Polymarket במהלך חלון של כשעה ב-29 באוקטובר. כל אתר שטוען סקריפטי RUM או אנליטיקה של צד שלישי חשוף לחשיפת שרשרת אספקה דומה.

למה זה חשוב

סקריפט חיצוני שנפרץ הפך סשנים לגיטימיים של משתמשים לניקוז אוטומטי, בלי צורך בסיסמאות או ב-seed phrases. המקרה מדגיש את הסכנה שב-JavaScript של צד שלישי ובבקרות אבטחת תוכן לא מספקות ב-frontends פיננסיים בעלי ערך גבוה.

איך אפשר היה למנוע את זה

הסירו או הצמידו בקפדנות סקריפטים של צד שלישי עם hashes של Subresource Integrity. פרסו Content Security Policy הדוקה שמגבילה את מקורות הסקריפטים. נטרו שינויים בלתי צפויים במשאבים שנטענים וב-DNS. הפעילו בקשות אישור לעסקאות ארנק, בדקו פעילות אחרונה והעדיפו חותמים חומרתיים. בצעו רוטציה לכל חומר API שנחשף ועקבו אחרי תקריות דומות אצל ספקים.

מה קרה

Kaspersky חשפה שרשרת הדבקה מתוחכמת מאוד שתוקפת build מותאם של Windows 10, שבשימוש רק אצל גופים ממשלתיים באסיה. השרשרת מפרסת framework לטעינת assemblies של .NET שלא תועד קודם לכן, בשם NetamLoader.

הנוזקה הופיעה במחצית הראשונה של 2026 בתוך ארכיון CAB שהונח בתיקיית ההורדה של עדכוני Windows, מעורבב עם רכיבים חתומים לגיטימיים של Patch My PC. קובץ .config זדוני מאפשר AppDomainManager injection לטעינת assemblies שרירותיים של .NET, ואחריו payloads מקודדים במספר שכבות מתוך fabric.config ו-Resources.resx. החשד הוא שההפצה כרוכה בחדירה לשרשרת אספקה. לא יוחס גורם איום ידוע, וב-telemetry נצפה קורבן אחד בלבד. עדיין לא ברור אם נגנב מידע רגיש.

מי מושפע

ארגונים ממשלתיים באסיה שמריצים את ה-build הייעודי של Windows 10. הטכניקה עשויה לחול באופן רחב יותר על כל סביבה שמסתמכת על הנחות אמון דומות לגבי .NET וחבילות עדכון.

למה זה חשוב

רכיב ה-loader מסתתר בתוך נתיבי עדכון Windows מהימנים ובתוך binaries חתומים לגיטימיים, ומשיג הרצת קוד חשאית שמתאימה לריגול ארוך טווח. טכניקת AppDomainManager injection מאפשרת לקוד זדוני לרוץ בתוך תהליך לגיטימי ומקשה על הזיהוי.

איך אפשר היה למנוע את זה

נטרו את נתיבי SoftwareDistribution\Download לאיתור קבצי CAB או config בלתי צפויים. הגבילו או בדקו בקפידה כלי ניהול תיקונים של צד שלישי. פרסו כללי EDR לזיהוי ניצול לרעה של AppDomainManager וטעינות assemblies חריגות של .NET. אכפו הרשאות מינימליות על מנגנוני עדכון ושמרו על בדיקות שלמות offline של חבילות מערכת. החילו זיהויים זמינים של Kaspersky או מקבילים לאינדיקטורים של NetamLoader.

מה קרה

פלטפורמת יישומי הענן Northflank חשפה תקרית אבטחה ב-30 באוקטובר 2026, בעקבות התראת איום מ-Wiz. תוקפים השיגו גישה שאפשרה פענוח של משתני סביבה של לקוחות, ובעקבות זאת נעשה שימוש לא מורשה במפתחות AI API שמורים.

Northflank הודיעה לכל הלקוחות להניח שכל משתנה סביבה פוענח ולבצע רוטציה מיידית של סודות. משתמשים רבים דיווחו על קריאות פוגעניות במפתחות של ספקי ה-AI שלהם. החברה החילה במהירות תיקוני מדיניות רשת וגייסה את צוות התגובה לתקריות של Wiz. שורש הבעיה, ההיקף המדויק והאם נוצלו גם סוגי פרטי הזדהות נוספים טרם נחשפו.

מי מושפע

כל לקוחות Northflank ששמרו סודות או משתני סביבה בפלטפורמה, ובמיוחד מי שהזין מפתחות API של AI מספקים כמו OpenAI או Anthropic. מספר החשבונות שנפגעו נותר לא ידוע.

למה זה חשוב

מפתחות API גנובים של AI עלולים לייצר חשבונות ענק בלתי צפויים, לאפשר הוצאת נתונים (exfiltration) דרך שאילתות למודלים, או להפעיל מתקפות אוטומטיות נוספות. האירוע משתלב בגל רחב יותר של חדירות לפלטפורמות פיתוח AI באוקטובר, וממחיש כיצד אחסון סודות מרוכז הופך ליעד בעל ערך גבוה.

איך אפשר היה למנוע את זה

בצעו מיד רוטציה לכל סוד, משתנה סביבה ומפתח API ששמורים ב-Northflank, ובטלו את פרטי ההזדהות הישנים אצל כל ספק מנפיק. בדקו את לוגי השימוש והחיוב אצל ספקי ה-AI לאיתור חריגות, ודווחו על פעילות חשודה. העדיפו tokens עם תוחלת חיים קצרה ומנהלי סודות חיצוניים על פני משתני סביבה עם תוחלת חיים ארוכה. הפעילו את יומני הביקורת החדשים של הפלטפורמה ואת יכולות הרוטציה בלחיצה אחת למסדי נתונים ול-add-ons אחרים.

מה קרה

דידייה סטיבנס (Didier Stevens), handler ב-SANS Internet Storm Center, עדכן את הכלי onedump.py באפשרות --jsonoutput. האפשרות מפיקה JSON שמכיל את כל הקבצים המוטמעים שנמצאים בתוך מסמך OneNote אחד או יותר בפורמט .one, במעבר יחיד.

את ה-JSON אפשר להעביר ב-pipe אל myjson-filter.py עם האפשרות -W hashvir, כדי לכתוב כל קובץ מוטמע לדיסק תחת שם מבוסס SHA-256 בתוספת סיומת .vir. כך נחסך הצורך להריץ את הכלי שוב ושוב על סטים גדולים של קבצי OneNote.

מי מושפע

אנליסטים בפורנזיקה דיגיטלית, חוקרי נוזקות ומגיבי אירועים שבודקים באופן שגרתי מסמכי OneNote, המשמשים לעיתים קרובות ככלי להטמעת payloads זדוניים.

למה זה חשוב

קבצי OneNote מופיעים לעיתים קרובות בקמפיינים של פישינג ונוזקות. חילוץ מרוכז שניתן להרצה בסקריפט מאיץ את ניתוח סטי הדגימות הגדולים ומשתלב בצורה חלקה עם שרשראות כלים מבוססות JSON.