פגיעות חמורה ב-SolarWinds Access Rights Manager עם מפתח קבוע מאפשרת הרצת קוד ללא אימות
SolarWinds תיקנה בחירום פגיעות חמורה (CVSS 8.8) במוצר ניהול ההרשאות Access Rights Manager, הנובעת ממפתח הצפנה קבוע המאפשר הרצת קוד מרחוק ללא אימות. התיקון זמין בגרסה 2026.2.1.
מתקפת שרשרת אספקה בחבילות npm של TanStack הובילה לגניבת מאגרי קוד של CrowdSec
תוקף שניצל מתקפת שרשרת אספקה בחבילות npm של TanStack גנב טוקן GitHub של עובד לשעבר ב-CrowdSec והעתיק כ-170 מאגרי קוד פרטיים, כולל כתובות דוא"ל של משתמשים. הפריצה התגלתה רק כארבעה חודשים לאחר מכן.
פורסמו קודי ניצול פעילים לארבע פגיעויות בליבת לינוקס המאפשרות עליית הרשאות לרוט
חוקר פרסם קודי ניצול פעילים לארבע פגיעויות ותיקות בליבת לינוקס שכבר תוקנו, ומאפשרות למשתמש מקומי לעלות להרשאות רוט. שלוש מהן דורשות user namespaces לא מורשים; אין עדיין ניצול מדווח בשטח.
קבוצת הריגול Transparent Tribe מפעילה דלת אחורית חדשה מבוססת Rust דרך גיטהאב
קבוצת הריגול Transparent Tribe (APT36) הפעילה ארבעה כלים חדשים, ביניהם דלת אחורית ב-Rust המשתמשת במאגרי GitHub פרטיים כתשתית שליטה ובקרה, נגד ארגוני ממשל וביטחון בהודו ובאפגניסטן, לפי מחקר חדש של Zscaler ThreatLabz.
פגיעות Click2Shell בליבת וורדפרס כופה התקנת תבנית ועלולה להוביל להרצת קוד
פגיעות Click2Shell בליבת וורדפרס מאפשרת לתוקף לגרום לאתר להתקין תבנית לא פעילה דרך קישור בלבד, ובשילוב עם פגם בתבנית עלולה להוביל להרצת קוד מרחוק. וורדפרס 7.1.1 מתקנת את הבעיה; כבר פורסם קוד הדגמה פומבי.
פגיעות בציון CVSS מרבי ב-Azure AI Foundry של מיקרוסופט תוקנה בצד הענן
מיקרוסופט תיקנה פגיעות בציון CVSS מלא של 10.0 ב-Azure AI Foundry שאפשרה לתוקף ללא אימות להעלות הרשאות ברשת. התיקון כבר פעיל בצד הענן ואינו דורש פעולה מצד הלקוחות; לא נמצאה עדות לניצול בפועל.
חוקרי אבטחה פרצו לסביבת הפיתוח הפנימית של OpenAI תוך 72 שעות בעזרת Claude
צוות חוקרים שרשר פגיעות בפורום הקהילה של OpenAI עם פגם בהתחברות המאוחדת, השתלט על חשבונות עובד והגיע למאגר קוד פנימי תוך 72 שעות, בעזרת Claude Opus 5. OpenAI תיקנה תוך 14 שעות ושילמה 6,500 דולר.
נוזקת אנדרואיד RatHat מנצלת ADB לשמירת גישה גם אחרי הסרת האפליקציה
חוקרי Zimperium חשפו את RatHat, נוזקת אנדרואיד סינית שמנצלת את פרוטוקול ADB כדי לשמור על גישת שורת פקודה למכשיר גם אחרי מחיקת האפליקציה, ומשתמשת בבינה מלאכותית לניווט אוטומטי במסך לגניבת פרטי בנקאות.
פגיעות קריטית ב-Unbound מאפשרת הרצת קוד מרחוק דרך אזור DNS זדוני
פגיעות קריטית באימות DNSSEC בתוכנת ה-DNS resolver הנפוצה Unbound עלולה לאפשר הרצת קוד מרחוק דרך אזור DNS זדוני בשליטת תוקף. גרסה 1.26.1 מתקנת את הבעיה; אין עדות לניצול בפועל.
פגיעות קריטית ב-Check Point Security Management מאפשרת הרצת קוד בהרשאות רוט ללא אימות
פגיעות בציון חומרה מקסימלי כמעט (9.8) בשרתי הניהול של Check Point מאפשרת לתוקף ללא כל אימות להריץ קוד בהרשאות רוט. אין עדות לניצול בפועל, אך עדכון ה-LivePatch דחוף.