שרשרת פגיעויות ב-LG webOS מאפשרת שליטה כ-root בטלוויזיות חכמות מהרשת המקומית
חוקר אנונימי חשף שרשרת של שלוש פגיעויות ב-webOS שמאפשרת לתוקף באותה רשת להשתלט על טלוויזיות LG מסוימות בלי PIN ובלי פעולת משתמש. LG פרסמה תיקון; לא דווח על ניצול בפועל.
שתי פגיעויות קריטיות ב-MarkLogic מאפשרות למנהל מוגבל להפוך למנהל מלא
Progress תיקנה שתי פגיעויות בציון 9.9 ב-MarkLogic, שבהן משתמש עם הרשאות ניהול חלקיות יכול ליצור חשבון מנהל קבוע. התיקון זמין מ-10 בספטמבר, וצריך לשדרג ל-11.3.7 או 12.1.0.
תקיפה על בקרי קירור של Danfoss חיממה מקררים בסופרמרקטים בצרפת
בליל 11 באוקטובר השתלטו תוקפים מרחוק על בקרי קירור בסופרמרקטים בצרפת, חיממו יחידות עד 50 מעלות ואילצו השלכת מזון. שיטת הפריצה ושם התוקף עדיין לא פורסמו.
GitLab מתקנת פגיעות CVSS 10.0 שעלולה לאפשר הרצת קוד בשרת ללא אימות
GitLab פרסמה עדכון אבטחה לשלוש גרסאות, ובו תיקון לפגיעות בציון מקסימלי הקשורה לאימות ביטוי רגולרי בהגדרות CI/CD. המקורות לא מדווחים על ניצול בפועל, אך מומלץ לעדכן מיד שרתים עצמאיים.
Bitdefender: טלפוני אנדרואיד זולים נשלחים עם נוזקת Midnight Mimosa מובנית בקושחה
Bitdefender חשפה נוזקה שמותקנת מראש בקושחה של טלפוני אנדרואיד זולים עם שבבי MediaTek והופכת אותם לצמתי פרוקסי למגורים ולהונאת פרסומות. מחיקה רגילה לא מסירה אותה.
Ledger: רכיב חומרה לא מורשה נמצא בארנק שנמכר דרך המפיץ CryptoBilis
Ledger השעתה מכירות דרך המפיץ בדרום-מזרח אסיה אחרי דיווחים על גניבת כספים, ומצאה במכשיר של משתמש אחד רכיב חומרה לא מורשה. חוקר עצמאי מעריך הפסדים של מעל 86 מיליון דולר.
קמפיין GhostAction חוזר: workflow זדוני נשתל במאות מאגרי GitHub וגונב אישורים
חשבונות של שני מתחזקי קוד פתוח שימשו לדחיפת workflow מחופש לבדיקת אבטחה ליותר מ-340 מאגרים. הוא סורק סודות והיסטוריית git ושולח אותם ב-HTTP לשרת של התוקף. Socket מדווחת על היקף גדול בהרבה.
Ledger מצאה שתל חומרה לא מורשה בארנק שנמכר דרך המפיץ CryptoBilis
Ledger השהתה מכירות דרך מפיץ בדרום-מזרח אסיה אחרי דיווחים על גניבת כספים, וגילתה שתל חומרה בהתקן אחד. כל המקרים המאומתים קשורים למכשירים שנמכרו דרך אותו מפיץ.
CyberXero: מתווך גישה ראשונית השתמש ב-Claude Code בקמפיין נגד יעדים באוקראינה
לפי SOCRadar, קבוצה דוברת רוסית הפעילה אשכול של 51 סוכנים מבוסס Claude Code לסריקה והשתלטות על אתרי וורדפרס, וגנבה מעל 628 אלף רשומות מארבעה גופים באוקראינה.
פגיעות CVSS 10.0 בתוסף Bricksforge לוורדפרס מנוצלת לביצוע RCE ללא אימות
תוסף Bricksforge לוורדפרס מכיל פגיעות העלאת קבצים ללא אימות בציון 10.0. Patchstack זיהתה ניסיונות ניצול מ-7 באוקטובר, והתוקפים מעלים קובץ PHP שמוסווה כתמונה.