שלוש קבוצות פרצו מרחוק ל-Pixel 10 מעודכן ב-Pwn2Own Ireland
בתחרות Pwn2Own Ireland 2026 שלוש קבוצות הריצו קוד מרחוק על Pixel 10 מעודכן, בפרסים של 562,500 דולר. פרטי הניצול טרם פורסמו ואין תיקון מקושר; ליצרן 90 יום לתקן.
פגיעות ב-GoBalance חושפת את מפתח הניהול של כתובות onion ומאפשרת חטיפתן
באג בכלי GoBalance מאפשר לשחזר את המפתח הפרטי של כתובת onion מתיאור פומבי אחד. חטיפות כתובות כבר דווחו, אין תיקון רשמי, ולכן מי שהשתמש בו נדרש להעביר שירות לכתובת חדשה.
ה-FBI ושותפות: האקרים סינים גנבו מיילים והפעילו פורטל שנותן לצדדים שלישיים גישה אליהם
ייעוץ משותף של ה-FBI ושש מדינות מייחס לקבוצה הקשורה ל-Integrity Technology Group גניבת דואר מארגונים ממשלתיים, רפואיים ודתיים, ואפליקציית רשת שחושפת אותו לגורמים שלא פורסמו. הייעוץ כולל המלצות הגנה מעשיות.
CrowdStrike: כלי פנטסטינג מבוסס AI בשם ARTEX שימש לגניבת נתונים מגופים פיננסיים בדרום קוריאה
CrowdStrike מדווחת על שחקן לא מזוהה שהפעיל את הכלי הפתוח ARTEX יחד עם מודלי שפה נגד גופים פיננסיים בדרום קוריאה. מפתחי הכלי מסרו שיפסיקו לעדכן אותו ויעברו לקוד סגור.
PoeLLM: נוזקה הדביקה מעל 3,400 שרתי AI חשופים לכריית קריפטו
Lumen Black Lotus Labs מתעדת את קמפיין Canto Incognito: ניצול פגיעויות בשירותים חשופים כמו LiteLLM, Gitea ו-Ivanti Sentry, התקנת כורי XMRig, והסתרת כתובת השליטה בשיר שמתארח ב-GitHub.
16 תוספי Firefox מתחזים לארנקי Rabby ו-OKX וגונבים ביטויי שחזור
חוקר Socket איתר 16 תוספים זדוניים בחנות התוספים של Firefox, ארבעה מחקים את Rabby ו-12 את OKX. הם לוכדים ביטויי שחזור ומפתחות פרטיים בעת ייבוא ארנק. התוספים הוסרו, אך מי שהזין מפתח אמיתי צריך להעביר נכסים.
בעל MonsterCloud הואשם בתשלום כופר בסתר ללקוחות שנאמר להם שלא ישלמו
משרד המשפטים האמריקאי האשים את זוהר פנחסי, בעל חברת MonsterCloud, בכך שהציג כלי פענוח קנייניים שלא היו קיימים, שילם כופר לתוקפים בסתר וחייב לקוחות ביותר מ-19 מיליון דולר. אלה טענות בלבד.
חבילת tensorlake ב-npm נפרצה ומפיצה תולעת גנבת אישורים מקמפיין Shai-Hulud
גרסה 0.5.144 של חבילת tensorlake ב-npm כללה תולעת שגונבת אישורי npm, GitHub וענן, ומתקינה קבצי הגדרות בפרויקטים. אם התקנת אותה, בטל תחילה את טוקן GitHub ורק אחר כך החלף שאר סודות.
SonicWall מתקנת ארבע פגיעויות ב-SMA1000, אחת קריטית (10.0) ללא אימות
SonicWall פרסמה hotfix לארבע פגיעויות במכשירי SMA1000, והחמורה בהן, SSRF ללא אימות ב-WorkPlace, מדורגת 10.0. החברה לא מזהה ניצול בפועל, ואין workaround — נדרש עדכון.
תוקפים השתלטו על שלושה רג'יסטרי ccTLD וקיבלו תעודות TLS לדומיינים של גוגל
גוגל חשפה שהרג'יסטרי של .gh, .sl ו-.as נפרצו ושימשו להנפקת 12 תעודות לדומיינים שלה. התעודות נחסמו ב-Chrome ובוטלו; בעלי דומיינים צריכים לנטר יומני CT ולהגדיר רשומת CAA.