הרשות להגנת הפרטיות קנסה את עיריית בית שמש בעקבות חשיפת מידע רגיש של תושבים
תקלה במערכת מיפוי עירונית של עיריית בית שמש, שתפעל ספק חיצוני, חשפה לציבור מידע רפואי ונתוני רווחה של כ-4,600 תושבים. הרשות להגנת הפרטיות קבעה שהאחריות נשארה אצל העירייה, והטילה עיצום של 64 אלף שקל.
מאגרי גיטהאב מזויפים המתחזים ל-LastPass Authenticator מפיצים גונב מידע חדש בשם Rapuncel
קמפיין הפצה מבוסס SEO מקים מאגרי גיטהאב מזויפים שמתחזים ל-LastPass Authenticator ולעשרות מותגים נוספים, ומפיץ דרך תוצאות חיפוש גוגל גונב מידע חדש בשם Rapuncel יחד עם דרייבר ליבה שמנטרל תוכנות אנטי-וירוס.
פגיעות Plugin4Shell מאפשרת החלפת קוד תוספים נעולים בארבעה סוכני קידוד מבוססי AI
חוקרי Air Security גילו שסוכני קידוד כמו Claude Code, Codex, Copilot ו-Gemini CLI לא בודקים שקוד תוסף נעול לקומיט מסוים אכן תואם לו, ומאפשרים לבעל מאגר להחליף אותו בשקט. שניים מהכלים כבר תוקנו, שניים לא.
מפתח Cloudflare גנוב מ-Brevo הוביל להזרקת דפי ClickFix; חשש לפגיעה ב-100 אלף אתרים
תוקפים ניצלו מפתח Cloudflare שדלף מקוד המקור של Brevo כדי להזריק במשך כארבע שעות וחצי דפי הטעיה וזיוף ותוסף וורדפרס זדוני לאתרי לקוחות, מבלי לגעת בשרתי המקור. עד 100 אלף אתרים עלולים היו להיפגע.
צפון קוריאה הדביקה 30 אלף מכשירים בעולם בקמפיין ראיונות עבודה מזויפים
התרעה משותפת של יפן, ארה"ב, אוסטרליה וגרמניה: קבוצת WaterPlum הצפון קוריאנית הדביקה 30 אלף מכשירים ב-100 מדינות דרך ראיונות עבודה מזויפים, וגנבה כ-10.7 מיליון דולר מ-7,000 ארנקי קריפטו למימון תוכניות הנשק של המשטר.
קבוצת ShinyHunters פרצה לאתר הדלף של כנופיית הכופרה Clop
קבוצת הסחיטה ShinyHunters פרצה דרך פגיעות בהעלאת קבצים לאתר הדלף של כנופיית הכופרה Clop, השחיתה אותו וטוענת שגנבה קוד מקור ומפתחות הצפנה. הקבוצה נותנת ל-Clop 72 שעות לפני שתפרסם את המידע, על רקע סכסוך מ-2025.
CISA מוסיפה שלוש פגיעויות מנוצלות בליבת לינוקס לקטלוג ה-KEV
CISA הוסיפה שלוש פגיעויות בליבת לינוקס לקטלוג ה-KEV — ברכיבי TLS, ebtables ו-AF_ALG — עם דדליין תיקון לסוכנויות פדרליות עד 21 בספטמבר. הרשות דרשה גם בדיקה פורנזית לסימני פריצה, לא רק התקנת העדכון.
פגיעות קריטית ב-Orkes Conductor מנוצלת בפועל להרצת קוד ללא אימות
פגיעות קריטית בציון 9.8 בפלטפורמת תהליכי העבודה Orkes Conductor מאפשרת הרצת קוד ללא אימות, ולפי Fortinet כבר נחסמו כ-7,000 ניסיונות ניצול תוך שבוע. גרסאות 3.30.0-3.30.1 אינן מוגנות במלואן — נדרש עדכון ל-3.30.2.
מחקר: תוסף דפדפן זדוני יכול להשתלט על סוכני AI ב-Chrome, Edge ועוד
חוקר אבטחה הדגים כיצד תוסף דפדפן זדוני יחיד יכול להשתלט על סוכני AI מובנים בחמישה מוצרי דפדפן וגלישה מבוססי Chromium — כולל Chrome ו-Edge — ולבצע פעולות ללא אישור המשתמש. כל הספקים תיקנו את הבעיה.
פגיעות חמורה ב-SolarWinds Access Rights Manager עם מפתח קבוע מאפשרת הרצת קוד ללא אימות
SolarWinds תיקנה בחירום פגיעות חמורה (CVSS 8.8) במוצר ניהול ההרשאות Access Rights Manager, הנובעת ממפתח הצפנה קבוע המאפשר הרצת קוד מרחוק ללא אימות. התיקון זמין בגרסה 2026.2.1.