חדשות סייבר יומיות - 28 באוקטובר 2026

מה קרה

CISA הוסיפה ב-26 באוקטובר 2026 שתי פגיעויות remote code execution ב-PHP, הידועות כ-PHP2Shell, לקטלוג Known Exploited Vulnerabilities שלה, ואישרה ניצול בפועל בשטח.

CVE-2026-109618 היא בעיית corruption מסוג out-of-memory (CVSS 9.8) ו-CVE-2026-109619 היא פגיעות request-state פנימי מיושן (CVSS 8.1). שתיהן מאפשרות RCE ללא הזדהות. החוקר עאדל כרימי (Adel Karimi) זיהה RCE מוצלח נגד מלכודות דבש ב-24 באוקטובר, כולל חשיפת זיכרון שניתן לשימוש באקספלויטים. תיקונים שוחררו ב-21 באוקטובר ב-PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. גם בעיית decoder של Brotli קשורה (CVE-2026-111497) נוספה ל-KEV.

מי מושפע

כל סביבת PHP החשופה לאינטרנט שעדיין רצה על גרסאות ללא תיקון שקדמו לעדכוני 21 באוקטובר. Censys מעריכה שיותר מ-32.51 מיליון שירותי PHP נותרים על builds מושפעים.

PHP מפעילה כ-70 אחוז מהאתרים. ספקים רבים פרסמו advisories, בהם WordPress, Drupal, Craft CMS, F5, Citrix, IBM, ויצרני appliances ו-CMS רבים שמצרפים PHP או תלויים בו.

למה זה חשוב

פגיעות RCE ללא הזדהות בשכבת ה-web מעניקה לתוקפים הרצת קוד מיידית בהרשאות של תהליך ה-PHP, ולעיתים קרובות מובילה ל-webshells, לגניבת נתונים או לתנועה רוחבית נוספת. ציוני EPSS של 100 אחוז וסטטוס KEV מאושר משמעותם שניצול המוני כבר מתבצע או צפוי בקרוב.

סוכנויות אזרחיות פדרליות בארה"ב עומדות בפני חלון תיקון קצר שמסתיים ב-29 באוקטובר. מפעילי יישומי PHP בעלי ערך גבוה או חשיפה גבוהה ניצבים בפני סיכון מוגבר לחדירה אם טרם החילו תיקון.

איך אפשר היה למנוע את זה

עדכנו מיד ל-PHP 8.5.12, 8.4.27, 8.3.36 או 8.2.35 (או ל-builds המקבילים ב-Windows שמטפלים גם בבעיית ה-Brotli). הפעילו מחדש את השירותים אחרי העדכון.

אם עדכון מיידי אינו אפשרי, הגבילו גישת רשת ל-endpoints של PHP, השביתו הרחבות מיותרות כמו אלו שמאפשרות decompression אוטומטי במקרים הרלוונטיים, נטרו התנהגות תהליכים חריגה ותבניות זיכרון חריגות, ותעדפו סביבות חשופות לאינטרנט ובעלות הרשאות גבוהות. ודאו את רמת התיקון בכל ה-hosts והקונטיינרים.

מה קרה

פגיעות buffer overflow קריטית בקוד network-boot (PXE) של EDK II, שמזוהה כ-CVE-2026-97631 ומדורגת 9.5 על ידי TianoCore, קיימת מאז commit מנובמבר 2010. היא מאפשרת לתוקף ברשת המקומית לשלוח הודעת ICMP או status שנבנתה במיוחד באורך של יותר מ-504 bytes במהלך אתחול PXE, ובכך לגרום ל-overflow ב-buffer קבוע.

ניצול פשוט מפיל את האתחול. עם התאמה ספציפית ל-build של ה-firmware, תוקף יכול להשתיל event מזויף שמריץ קוד שרירותי בתוך ה-firmware לפני ש-Secure Boot והגנות אחרות מופעלות. הקוד רץ פעם אחת בלבד בכל אתחול, אך יכול להתקין implants מתמידים. אף גרסת stable של EDK II עדיין לא כוללת את התיקון.

מי מושפע

מערכות שמבצעות אתחול רשת (PXE) ושה-firmware של ה-UEFI שלהן נבנה מ-EDK II עד כולל edk2-stable202608 (אוגוסט 2026). זה כולל את רוב ה-firmware המודרני לשרתים ולתחנות עבודה מ-AMI, Insyde, Phoenix ומה-fork של Project Mu מבית Microsoft.

Red Hat ו-SUSE מדרגות אותה כדורשת גישה מרשת סמוכה ולא הגעה מרחוק מהאינטרנט. מערכות desktop שלעולם אינן מבצעות אתחול PXE כמעט אינן מושפעות בפועל.

למה זה חשוב

הרצת קוד לפני Secure Boot עוקפת את שורש האמון שמגן על שרשרת האתחול. אקספלויט מוצלח יכול להתקין bootkits או persistence ברמת firmware ששורדים התקנה מחדש של מערכת ההפעלה ושקשה מאוד לזהותם או להסירם.

למרות שהניצול דורש תזמון מדויק במהלך אתחול הרשת וידע ספציפי ל-build, העובדה שהפגיעות קיימת כבר 16 שנה בקוד הייחוס משמעותה שמיליוני מכשירים נושאים אותה עד שספקים ישחררו firmware מעודכן.

איך אפשר היה למנוע את זה

השביתו אתחול PXE/רשת במערכות שאינן זקוקות לו. בצעו סגמנטציה ונטרו רשתות ניהול כך ש-hosts לא מהימנים לא יוכלו להגיע ללקוחות PXE במהלך האתחול.

החילו עדכוני firmware מהספקים ברגע שהם משלבים את תיקון EDK II. עד אז, התייחסו לסביבות אתחול רשת כאל סיכון מוגבר, ושקלו שיטות אתחול חלופיות או בקרות רשת נוספות. מפו את גרסאות ה-UEFI ועקבו אחרי advisories של TianoCore ושל יצרני OEM ל-builds מתוקנים.

מה קרה

מודל מחקר פנימי של Anthropic שטרם שוחרר, שקיבל רק הנחיה ראשונית ומעורבות אנושית מינימלית, גילה פגיעויות מרובות ב-Chrome, Safari, Android, Windows ו-Linux, ואז שרשר אותן אוטומטית לאקספלויטי proof-of-concept עובדים בסביבת מעבדה.

כל הפגיעויות דווחו לספקים תחילה וכבר תוקנו. בין התוצאות הבולטות: שרשרת ב-Chrome שבורחת מה-sandbox ומריצה קוד מחוץ לדפדפן מביקור בעמוד בודד (תוקנה ב-Chrome 156), קריאת נתונים חוצת אתרים ב-Safari (תוקנה ב-iOS/iPadOS 26.5.2), מניעת שירות HTTP/3 ב-Windows (CVE-2026-33096), ו-RCE כ-root ב-multipath TCP של Linux (CVE-2026-98432). לא נצפו מתקפות בשטח שמשתמשות בשרשרות האלה.

מי מושפע

משתמשים במוצרים המושפעים לפני התיקונים שצוינו: Chrome סטנדרטי ב-macOS לפני גרסה 156, Safari בגרסאות ישנות יותר של iOS/iPadOS, מערכות Windows שמשיבות ל-HTTP/3, מארחי Linux עם מאזיני multipath TCP, ומכשירי Android מסוימים. המחקר עצמו כוון לגרסאות mainstream עדכניות בזמן הבדיקה.

למה זה חשוב

ההדגמה מראה שמודלים מתקדמים יכולים כעת לאתר באגים נפרדים ולהרכיב שרשרות אקספלויט מרובות שלבים, כאלה שבעבר דרשו צוותים אנושיים מתמחים. אמנם השרשרות הספציפיות האלה כבר תוקנו ונשארו ברמת מעבדה בלבד, אבל היכולת מורידה את רף המיומנות והזמן למתקפות מתוחכמות ברגע שהמודלים יהיו זמינים יותר או ינוצלו לרעה.

מגינים צריכים לצפות ללוחות זמנים קצרים יותר מ-discovery עד אקספלויט, ולהתייחס למחקר פגיעויות בסיוע AI כנורמה חדשה שמאיצה גם התקפה וגם גילוי אחראי.

מה קרה

קבוצת Lazarus, המקושרת לצפון קוריאה, הפעילה את Operation FlashHole, קמפיין ריגול סייבר שפעיל לפחות מיולי 2025 נגד ארגונים דרום-קוריאניים בענפי הבנייה, התוכנה וייצור ציוד תקשורת קווית.

התוקפים שלחו קישורי spear-phishing מותאמים לאתרי תיק עבודות או קורות חיים מזויפים, ואז ניצלו את INISAFE CrossWeb EX של Initech (תוכנת אבטחה חובה במגזר הפיננסי והממשלתי בדרום קוריאה) כדי להעביר נוזקה. הקמפיין ממשיך טקטיקות מ-Operation SyncHole הקודם, שבו נוצל מוצר Cross EX קשור. ה-payloads כוללים דלתות אחוריות ומשתמשים בהצפנה פוסט-קוונטית ל-command-and-control או להגנת נתונים. Kaspersky מייחסת את הפעילות ל-Lazarus.

מי מושפע

לפחות שלושה ארגונים דרום-קוריאניים מאומתים בענפים שצוינו. הסיכון הרחב יותר חל על כל גוף שמשתמשיו מריצים גרסאות פגיעות של INISAFE CrossWeb EX או תוספי אבטחה קוריאניים חובה דומים בעת ביקור באתרים שנפרצו או בשליטת תוקפים.

השימוש ההיסטורי של Lazarus באותה משפחת תוכנות (כולל קמפיינים ב-2021-2023) מצביע על מיקוד חוזר בכלי גישה פיננסיים וממשלתיים קוריאניים.

למה זה חשוב

תוכנת אבטחה חובה הופכת לנקודת כשל בודדת בעלת ערך גבוה: ברגע שמנצלים אותה, היא מעניקה גישה ראשונית אמינה במערכות שחייבות להריץ אותה לבנקאות ולממשל אלקטרוני. spear-phishing סלקטיבי לצד הצפנה פוסט-קוונטית מעלה את הרף לזיהוי ולפענוח מצד המגינים.

הקמפיין מראה ש-Lazarus ממשיכה לחדד כלים שממוקדים בדרום קוריאה ולעשות שימוש חוזר במוצרי אבטחה מקומיים לריגול נגד יעדים תעשייתיים וטכנולוגיים.

איך אפשר היה למנוע את זה

עדכנו את INISAFE CrossWeb EX ואת תוכנות הלקוח הקוריאניות הקשורות באופן מלא. הסירו או בודדו אותן במערכות שאינן דורשות בנקאות מקוונת או פורטלים ממשלתיים. חסמו דומיינים זדוניים ידועים והשתמשו בסינון דוא"ל יחד עם הדרכת משתמשים נגד פיתיונות מותאמים של קורות חיים ותיקי עבודות.

נטרו הזרקת תהליכים חריגה לבינאריים לגיטימיים של אבטחה, חיבורי רשת בלתי צפויים מאותם תהליכים, ויישמו allow-listing לאפליקציות ככל שניתן. בצעו סגמנטציה לרשתות כך שנקודות קצה שנפרצו לא יוכלו להגיע בקלות לנכסים פנימיים רגישים.

מה קרה

גורם איום המקושר לסין ניצל את זוג הפגיעויות PHP2Shell (CVE-2026-109618 ו-CVE-2026-109619) בשרשור עם פגיעות הסלמת הרשאות בקרנל Linux בשם Fragnesia (CVE-2026-46300) כדי להשיג root בחומות אש החשופות לאינטרנט.

באמצעות מנוע החיפוש FOFA זיהו כ-19,000 חומות אש מועמדות, צמצמו ל-240 יעדים עם PHP חדש יותר בארה"ב, יפן, טייוואן ודרום קוריאה, ואז הפעילו אוטומציה של השרשור המלא נגד 25 מכשירים ב-23-24 באוקטובר. הם השתילו PHP root webshells ב-24 מהם. בשני שרתים השייכים לארגון המסונף לממשל ארה"ב התקדמו הלאה: הקימו reverse SSH tunnel, פרצו לשרת ניהול חומות האש הפנימי, חילצו קונפיגורציות ופרטי הזדהות, פענוחו חשבון שירות LDAP, מיפו את הדומיין וניסו לבצע פעולות נוספות ב-Active Directory.

מי מושפע

חומות אש החשופות לאינטרנט של הספק המותקף, שמריצות PHP פגיע וקרנל Linux רגיש. 24 מכשירים קיבלו webshells; בשניים בסביבה המסונפת לממשל ארה"ב בוצעה post-exploitation עמוקה יותר.

כל ארגון שחושף מכשירים בקונפיגורציה דומה נשאר בסיכון עד שיתוקנו גם בעיית ה-PHP וגם בעיית הקרנל.

למה זה חשוב

השגת root בחומות אש היקפיות ואחר כך בשרת הניהול המרכזי מעניקה לתוקפים נראות ושליטה על כל צי חומות האש, בנוסף לפרטי הזדהות של הדומיין. המהירות מהגילוי הפומבי של PHP2Shell ועד ניצול המוני אוטומטי ותקיפה ממוקדת של גופי ממשל ממחישה כמה מהר גורמי איום מתוחכמים מפעילים מבצעית פגיעויות קריטיות חדשות.

השארת webshells ומנהרות במקום יוצרת גישה ארוכת טווח שיכולה לשרוד תיקון פשוט אם לא מחסלים אותם ביסודיות.

איך אפשר היה למנוע את זה

עדכנו את PHP לגרסאות 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 או מאוחר יותר מיד, והחילו את עדכון הקרנל שמתקן את CVE-2026-46300. הסירו או הגבילו גישה ציבורית לממשקי ניהול ולשירותים עם PHP בחומות אש.

חפשו PHP webshells בלתי צפויים, reverse SSH tunnels ואימות חריג מארחי חומות אש או ניהול. בצעו רוטציה לפרטי הזדהות שנחשפו במכשירים שנפרצו, בדקו קונפיגורציות של חומות אש לאיתור שינויים לא מורשים, ונטרו חשיפה בסגנון FOFA/Shodan של המכשירים שלכם.

מה קרה

ה-Australian Signals Directorate (ASD) השיגה גישה ל-controller פלילי של נוזקת Amadey וניתקה אותו מכ-180,000 מחשבים נגועים ברחבי העולם, כולל מערכות באוסטרליה.

Amadey, שנמכרת כ-malware-as-a-service מאז 2018, פועלת בעיקר כ-loader ל-payloads נוספים כמו ה-infostealer StealC, ויכולה גם לגנוב פרטי הזדהות או לספק גישה מרחוק. כל קונה מפעיל פאנל C2 נפרד. פעולת ASD מונעת מהמפעיל לשלוח פקודות חדשות או לקבל נתונים טריים מהבוטים האלה. המבצע נפרד מהפרעות Operation Endgame הרחבות יותר מיוני 2026, שפגעו גם הן בתשתית Amadey.

מי מושפע

בעלי כ-180,000 המכונות שנדבקו בעבר ופנו ל-controller הספציפי הזה, וגם המפעיל הפלילי שאיבד את השליטה. הדבקות Amadey מגיעות בדרך כלל דרך עדכוני תוכנה מזויפים, מתקינים פרוצים ו-loaders אחרים, כך שמשתמשים ביתיים וארגונים עם בקרות endpoint חלשות הם קורבנות טיפוסיים.

למה זה חשוב

ניתוק קישור ה-C2 עוצר גניבה מתמשכת ופריסת נוזקה משנית מהבוטנט הזה, ומפחית את הנזק המיידי. עם זאת, הוא לא מוחק פרטי הזדהות או cookies של סשן שכבר נגנבו; אפשר למכור אותם או להשתמש בהם בהמשך כדי לעקוף MFA.

הפעולה מדגימה כיצד סוכנויות סייבר לאומיות משתמשות ביכולות התקפיות כדי לשבש תשתית נוזקה סחירה בקנה מידה רחב, כהשלמה להשבתות מסורתיות של אכיפת החוק.

מה קרה

ניתוח מתקפת שרשרת האספקה האחרונה Shai-Hulud מדגים שרשימות SBOM לבדן לא נותנות למגינים תובנה מספקת בזמן אמת כדי לזהות או להגיב ביעילות כשתלות נפרצת.

רשימות SBOM מפרטות רכיבים וגרסאות בזמן build או release, אך בארגונים רבים חסר מיפוי רציף מהרכיבים האלה לשירותי production פעילים, לקונטיינרים ולהתנהגות runtime. כשעדכון זדוני מגיע, צוותים מתקשים לענות אילו שירותים מושפעים בפועל והאם הקוד הזדוני רץ.

מי מושפע

כל ארגון שמסתמך על חבילות צד שלישי או קוד פתוח ומתייחס לרשימות SBOM כבקרת אבטחה מלאה של שרשרת אספקה. יצרני תוכנה, צוותי cloud-native וארגונים עם גרפי תלויות גדולים חשופים במיוחד אם חסרה להם נראות runtime.

למה זה חשוב

התקפות על שרשרת אספקה ממשיכות להצליח כי מצאי סטטי מתיישן ולא חושף שימוש חי או התנהגות חיה. בלי לקשר נתוני SBOM לטלמטריית production, תגובת האירוע איטית ולא שלמה, ומאפשרת לתוקפים זמן שהייה ארוך יותר אחרי שחבילה מורעלת.

מפתחים ומפעילים צריכים לעבור מעבר לרשימות תיוג של compliance אל מעקב תלויות רציף ברמת runtime אם הם רוצים להכיל במהירות את האירוע הבא בסגנון Shai-Hulud.