פגיעות קריטית בליבת וורדפרס מאפשרת הרצת קוד ללא אימות דרך טעינת קובץ מקומי
וורדפרס פרסמה עדכון חירום לפגיעות קריטית (CVSS 9.2) המאפשרת לתוקף ללא הרשאה כלשהי לגרום לשרת לטעון קובץ PHP זר, ובתנאים מסוימים להריץ קוד מרחוק. ניסיונות סריקה נצפו תוך שעות מפרסום התיקון.
קבוצת ShinyHunters טוענת לפריצה למערכות ה-FBI וגניבת מידע על עובדים ומועמדים
קבוצת הסחיטה ShinyHunters טוענת שפרצה למערכות ה-FBI וגנבה מידע על סוכנים ומועמדים לעבודה, לאחר שהחליפה את מראה אתר הגיוס FBIjobs.gov. הסוכנות מאשרת בדיקה בלבד, ללא אישור לפריצה.
פגיעות קריטית ב-Next.js ImageResponse מאפשרת הרצת קוד בצד השרת
פגיעות קריטית (CVSS 9.5) בתכונת ImageResponse של Next.js מאפשרת הרצת קוד מרחוק ללא אימות באתרים שמעבירים קלט חיצוני ליצירת תמונות. תוקנה בגרסה 16.3.6.
מיקרוסופט השביתה שירות פישינג EvilTokens שפרץ ל-12 אלף תיבות דואר
מיקרוסופט ושותפי אכיפה השביתו את EvilTokens, שירות פישינג מבוסס AI שניצל את תהליך ההתחברות במכשיר של OAuth ופרץ ל-12 אלף תיבות דואר ב-10 אלף ארגונים — בלי לגנוב סיסמה אחת.
שתי פגיעויות נוספות ב-Check Point מתגלות כמנוצלות בפועל
Check Point מאשרת ניצול בפועל של שתי פגיעויות קריטיות נפרדות — באימות תעודות VPN מול לקוחות Spark, ובמעבר נתיבים בשרת הניהול שנוצל כבר ביולי. שתיהן בציון CVSS 9.8 ותוקנו ב-22 בספטמבר.
פגיעות קריטית ב-F5 BIG-IP APM מנוצלת בפועל להרצת קוד ללא אימות
פגיעות זירו-דיי בציון 9.8 ב-F5 BIG-IP Access Policy Manager מאפשרת הרצת קוד מרחוק ללא אימות דרך פרופיל OAuth, ומנוצלת בפועל. CISA כבר הוסיפה אותה לקטלוג הפגיעויות המנוצלות שלה.
חבילת קוד פתוח זדונית עם כמעט שני מיליון הורדות שבועיות התגלתה ב-npm
חבילת npm בשם indexed-btree התחזתה לספרייה פופולרית וצברה כמעט שני מיליון הורדות שבועיות, כשהקוד הזדוני שלה רץ רק בזמן ריצה ולא בהתקנה, וגנב נתונים דרך Slack, טלגרם וחוזה חכם באת'ריום.
כלי הדגמה בשם BigDiskBuster חוסם עדכוני Windows Defender ללא תיקון
חוקר אבטחה פרסם כלי בשם BigDiskBuster שחוסם עדכוני חתימות ומנוע ב-Windows Defender בכל גרסאות Windows הנתמכות, ללא צורך בהרשאות מנהל וללא תיקון זמין ממיקרוסופט.
פגיעות Comment2Shell בליבת וורדפרס מאפשרת הרצת קוד דרך תגובה זדונית
פגיעות Comment2Shell בליבת וורדפרס מאפשרת לגולש אנונימי להשתיל קוד בתגובה רגילה, שמופעל כשמנהל מחובר צופה בעמוד ועלול להוביל להתקנת תוסף זדוני. וורדפרס 7.1.1 מתקנת את הבעיה; אין עדות לניצול בשטח.
פגיעות חמורה ב-Veeam Agent for Windows מנוצלת בפועל להשגת הרשאות SYSTEM
חוקרי Arctic Wolf מדווחים על ניצול פעיל של פגיעות עליית הרשאות ב-Veeam Agent for Windows, המאפשרת למשתמש מקומי להגיע להרשאות SYSTEM מלאות. התיקון קיים כבר ממאי, אך פרסום קוד הדגמה פומבי הגביר את הניצול בשטח.