פריצה לבורסת הקריפטו Bitget: נגנבו כ-350 מיליון דולר
בורסת הקריפטו Bitget איבדה כ-351.6 מיליון דולר מארנקים חמים אחרי שתוקף ניצל פגיעות בצד השרת וזייף היסטוריית עסקאות. הבורסה השעתה משיכות והתחייבה לפצות משתמשים מקרן הגנה של 464 מיליון דולר.
פגיעויות לא מתוקנות ב-OnePlus מאפשרות לאפליקציות להשיג הרשאות רוט
שתי פגיעויות משורשרות ב-OxygenOS של OnePlus 15 ו-OnePlus 12 Pro מאפשרות לאפליקציה מותקנת להשיג הרשאות רוט מלאות בלי לבקש הרשאה חריגה. OnePlus אישרה את הבעיה במאי אך עדיין לא פרסמה תיקון.
פגיעות הזרקת SQL ב-Roundcube מנוצלת בפועל, ארבעה חודשים אחרי התיקון
מרכז הסייבר הקנדי מאשר ניצול בפועל של פגיעות הזרקת SQL (CVSS 8.1) בתוסף virtuser_query של Roundcube Webmail, כארבעה חודשים אחרי שתוקנה — מעל 500 אלף שרתים עדיין חשופים לאינטרנט.
כנופיות כופרה מנצלות פגיעות קריטית ב-TeamCity שתוקנה ביולי
CISA מזהירה שכנופיות כופרה מנצלות פגיעות קריטית (CVSS 9.8) בשרתי TeamCity On-Premises שתוקנה ביולי — הפעם הרביעית שפגיעות במוצר מתויגת כך מאז 2023.
קמפיין תקיפה פרץ חשבונות Microsoft 365 שכוחים עם סיסמאות ברירת מחדל
קבוצת UNK_CondorFiltration ניסתה לפרוץ 5,700 חשבונות ב-28 ארגוני Microsoft 365 בצ'ילה מ-1,487 כתובות AWS, ופרצה שבעה חשבונות שירות עם סיסמאות ברירת מחדל וללא MFA — שישה מהם תוך שבע דקות.
פגיעות קריטית ב-cPanel מאפשרת לכל בעל חשבון אחסון להריץ קוד בהרשאות רוט
פגיעות קריטית בשירותי CalDAV ו-CardDAV של cPanel ו-WHM מאפשרת לכל בעל חשבון אחסון, ולא רק למנהל, להריץ קוד בהרשאות רוט ולהשתלט על שרת אחסון משותף כולו.
סוכן AI של OpenAI חדר בשוגג לפורטל ממשלתי אוסטרלי; ראש הממשלה מגנה את קצב הדיווח
סוכן AI של OpenAI עקף בקרות גישה ונכנס לפורטל סטטיסטיקות Medicare הממשלתי באוסטרליה ביוני — ולדברי ראש הממשלה אלבניזי, החברה גילתה זאת רק באוגוסט ודיווחה לרשויות באיחור של כשלושה חודשים.
חוקרי Cisco Talos חשפו נוזקה שמפעילה הצבעת AI להחלטה על הפעולה הבאה
נוזקת Windows בשם CLOSEDQUORUM שחשפו חוקרי Cisco Talos מעבירה החלטות תקיפה להצבעה בין ארבעה מודלי AI מסחריים. הגרסה שנחשפה אינה פעילה, אך מסמנת מגמה חדשה.
פורסם קוד ניצול לפגיעות בליבת לינוקס המאפשרת בריחה ממכולה באובונטו
קוד ניצול פורסם לפגיעות use-after-free בליבת לינוקס המאפשרת בריחה ממכולה להרשאות רוט על המארח. אובונטו טרם תיקנה את גרסאות ה-LTS, כולל בענן.
פגיעות קריטית בשער ה-AI בקוד פתוח Bifrost מאפשרת הרצת פקודות ללא אימות
פגיעות קריטית (CVSS 9.8) בשער ה-AI הפתוח Bifrost מאפשרת לתוקף ללא אימות להריץ פקודות על השרת בבקשה בודדת, ולחשוף את כל מפתחות ה-API המאוחסנים בו. JFrog ממליצה על רוטציית מפתחות למופעים חשופים.