גוגל: פגיעות חמורה במודם הסלולרי של Pixel עשויה להיות מנוצלת בפועל
גוגל תיקנה בעדכון האבטחה החודשי ל-Pixel פגיעות הרשאות במודם הסלולרי, CVE-2026-58704, עם סימנים לניצול ממוקד ומוגבל בפועל נגד מכשירים ספציפיים.
פגיעות קריטית בתוסף וורדפרס WooCommerce Wholesale Lead Capture מנוצלת בהיקף נרחב
פגיעות בציון 9.8 בתוסף WooCommerce Wholesale Lead Capture מאפשרת העלאת קבצים ללא אימות. וורדפנס חסמה מעל 100 אלף ניסיונות ניצול שמשתילים web shell לצורך הרצת קוד מרחוק.
פגיעות קריטית ב-WSO2 API Manager מאפשרת זיוף טוקני גישה
פגיעות בציון 9.8 ב-WSO2 API Manager מאפשרת זיוף טוקני JWT עם הרשאות מנהל. חוקרי watchTowr זיהו ניסיונות ניצול בפועל נגד שערי API ארגוניים חשופים לאינטרנט.
פריצה לחברת האנרגיה CenterPoint Energy חושפת מידע של מיליוני לקוחות
חברת האנרגיה האמריקאית CenterPoint Energy אישרה פריצה שבה נגנב מידע לקוחות, לאחר שתוקף טוען כי ניצל API ציבורי ללא הגבלת קצב וללא WAF כדי לשלוף כ-7.49 מיליון רשומות. המידע כלל כתובות, מספרי חשבון וחלקים ממספרי ביטוח סוציאלי.
פגיעות בתוסף הגיבוי של Acronis ל-cPanel ו-Plesk מנוצלת בפועל
Acronis מזהירה מפגיעות הסלמת הרשאות (CVSS 7.8) בתוסף הגיבוי שלה ל-cPanel/WHM ול-Plesk, ומדווחת על ניצול בהתקפות ממוקדות מוגבלות. תיקון זמין בגרסאות cPanel 1.9.3 HF3 ו-Plesk 1.8.11.
פגיעות קריטית ב-VMware vCenter מנוצלת כעת גם בידי כנופיות כופרה
פגיעות קריטית ב-VMware vCenter שתוקנה ביולי ושימשה תחילה גורמי ריגול, עברה כעת גם לניצול בידי כנופיות כופרה. שירות Shadowserver מדווח על כ-450 שרתים חשופים באינטרנט, ו-CISA קבעה לוח זמנים דחוף לתיקון בגופים פדרליים.
פורצים השתלטו על חשבון Reddit הרשמי של HBO Max להפצת נוזקה בטכניקת ClickFix
תוקפים השתלטו על חשבון Reddit המאומת של HBO Max ופרסמו 108 מודעות זדוניות שהובילו להתקנת נוזקות גניבת מידע בטכניקת ClickFix, שמנצלת אמון במותג ולא פגיעות טכנית.
קבוצה סינית ניצלה שרשרת יום-אפס ב-Chrome וב-Windows להתקנת דלת אחורית GRIMWEDGE
קבוצת UTA0560 הסינית שרשרה שלוש פגיעויות יום-אפס ב-Chrome וב-Windows כדי להתקין דלת אחורית GRIMWEDGE נגד ארגוני חברה אזרחית, תוך ניצול הפער בין תיקון קוד המקור להפצתו בפועל.
אפל מפרסמת עדכון ענק המתקן 261 פגיעויות ב-iOS, macOS ומערכות נוספות
אפל תיקנה 261 פגיעויות בעדכון אבטחה חוצה-מערכות — המספר הגבוה ביותר בעדכון בודד אי פעם. אף פגיעות לא מנוצלת בפועל, אך ההיקף מחייב הפצה מהירה בכל מכשירי iOS ו-macOS הארגוניים.
פגיעות חמורה ב-LiteSpeed Web Server Enterprise מאפשרת השתלטות על שרת אחסון משותף
פגיעות ב-LiteSpeed Web Server Enterprise מאפשרת למשתמש עם הרשאות נמוכות בשרת אחסון משותף לעקוף בידוד CageFS ולהשיג הרשאות רוט. תוקן בגרסה 6.3.7, אך ללא מספר CVE או עקיפה זמנית.