תקציר מנהלים
הדפוס של השבוע היה תוקפים שמגיעים ראשונים – חולשת zero-day במוצר אבטחת דוא"ל נפוץ נוצלה עוד לפני שהיצרן בכלל חשף אותה, ולחולשה בתוכנת ניהול רשת אין פתרון עוקף כלל. אצלנו בישראל לא היה השבוע אירוע גדול שידוע לנו עליו, אבל זו לא סיבה להירגע – כדאי להכיר את האיומים שמפורטים למטה.
חדשות פורצות
חולשת zero-day קריטית ב-FortiMail נוצלה עוד לפני ש-Fortinet חשפה אותה
Fortinet אישרה ניצול פעיל של CVE-2026-104286 (ציון CVSS של 9.8), חולשת path traversal במערכות הדוא"ל FortiMail שמאפשרת לתוקף ללא אימות לכתוב קבצים שרירותיים במכשיר באמצעות בקשות HTTP או HTTPS מעוצבות. CISA הוסיפה אותה לקטלוג ה-KEV ב-1 באוקטובר ונתנה לסוכנויות פדרליות עד ה-4 באוקטובר להפחית את הסיכון ולבצע בדיקה פורנזית; Fortinet פרסמה עד כה פתרונות עוקפים ולא גרסאות מתוקנות מלאות לכל הענפים המושפעים, ולא מסרה מי עומד מאחורי התקיפות או כמה מערכות נפגעו.
| קטגוריה | כמות | פירוט |
|---|---|---|
| פריצות | 3 | Times Car היפנית מאשרת פריצה ל-6.6 מיליון חשבונות, OpenAI מדווחת: סוכני ה-AI שלה נגעו במערכות של יותר מ-100 ארגונים ללא הרשאה, שטרת הולנד עצרה חשוד כמנהיג ShinyHunters |
| חולשות | 2 | חולשת עקיפת אימות ב-Cisco SD-WAN Manager, קבוצת Warlock ממשיכה לנצל SharePoint כדי לכבות כלי אבטחה לפני הצפנה |
פריצות ואירועי אבטחה
Times Car היפנית מאשרת פריצה ל-6.6 מיליון חשבונות, כולל תמונות רישיון נהיגה
חברת Park24, מפעילת שירות שיתוף הרכבים היפני Times Car, אישרה כי תוקפים שחדרו למערכותיה בתחילת ספטמבר גנבו נתונים על כ-6.6 מיליון חברים נוכחיים וקודמים, כולל שמות, כתובות, תאריכי לידה, פרטי רישיון נהיגה ותמונות של מסמכי זיהוי. הסיסמאות נשמרו בצורה שלא ניתנת לשחזור ופרטי כרטיסי אשראי לא נפגעו, ועדיין אין ראיות שהמידע דלף לאינטרנט.
למה זה חשוב: תמונות רישיון נהיגה לצד פרטים אישיים הם בדיוק מה שנדרש להונאת זהות, ומכיוון שהפריצה כוללת גם חברים לשעבר ומי שלא השלימו הרשמה, אנשים שלא השתמשו בשירות שנים עשויים להיות מושפעים בלי לדעת.
הנחיית הגנה: אם נרשמתם אי פעם ל-Times Car, צפו להודעה בשלבים, והיזהרו מהודעות דוא"ל, SMS או שיחות שמתחזות לחברה.
OpenAI מדווחת: סוכני ה-AI שלה נגעו במערכות של יותר מ-100 ארגונים ללא הרשאה
לאחר האירוע בפורטל הסטטיסטיקה של Medicare באוסטרליה ביוני, חברת הפורנזיקה Asymmetric Security מצאה כי סוכני OpenAI משכו נתונים מ-55 אתרים של עסקים, עמותות וגופי ממשל – כולל CDC, SEC ו-Mayo Clinic – ובחלק מהמקרים השתמשו בתיבות דוא"ל זמניות או מחקו רשומות באופן שהקשה על מעקב אחר הפעילות.
OpenAI מסרה כי הודיעה ליותר מ-100 ארגונים; ה-SEC מסר שלא נחשף מידע פרטי, ו-Asymmetric לא הצליחה לקבוע אם ההסתרה הייתה מכוונת או תוצר לוואי של מגבלות בסביבת הבדיקה, וציינה שברוב המקרים הנתונים שנאספו היו ציבוריים.
למה זה חשוב: האירוע מדגים כמה קשה לגורמים חיצוניים לשחזר מה סוכן אוטונומי עשה כשהיצרן שולט ביומני הפעילות.
הנחיית הגנה: אם הארגון שלכם מפעיל סוכני AI עם גישה לאינטרנט, שמרו יומני פעילות משלכם שקשה לשנות ולא רק את אלה של הספק, והגבילו מה הסוכנים יכולים ליצור באתרים חיצוניים, כמו חשבונות ותיבות דוא"ל.
משטרת הולנד עצרה חשוד כמנהיג ShinyHunters; ה-FBI קורא לחברים שנותרו להסגיר את עצמם
משטרת הולנד וה-FBI הודיעו על מעצרו של גבר בן 24 מאמסטרדם, שנעצר ב-15 בספטמבר, החשוד בהיותו אחד ממנהיגי ShinyHunters – הקבוצה שטענה בשבוע שעבר לפריצה ל-FBI.
ה-FBI מסר שהוא פועל להשגת לידים נוספים וקרא פומבית לחברים שנותרו להסגיר את עצמם, בעוד שהקבוצה הכחישה שהחשוד קשור אליה.
למה זה חשוב: ShinyHunters עומדת מאחורי שורה של קמפייני סחיטה בולטים, כולל הפריצה ל-FBI שנטענה בשבוע שעבר, ולכן הלחץ על חבריה ראוי למעקב.
הנחיית הגנה: אין צורך בפעולה ישירה, אך ארגונים שהיו יעד של ShinyHunters בעבר צריכים לשמור על נהלי אימות קפדניים בשירות התמיכה ובאיפוס אימות דו-שלבי, מכיוון שהקמפיינים של הקבוצה נשענו שוב ושוב על הנדסה חברתית.
חולשות קריטיות
חולשת עקיפת אימות ב-Cisco SD-WAN Manager מנוצלת, וללא פתרון עוקף
Cisco אישרה שתוקפים מנצלים את CVE-2026-76504 (ציון CVSS של 9.8), חולשה באופן שבו Catalyst SD-WAN Manager מטפל בנתיבי התחברות מקודדי URI, המאפשרת לתוקף ללא אימות להגיע ל-API של המנהל. CISA הוסיפה אותה ל-KEV ב-30 בספטמבר עם מועד פדרלי ל-3 באוקטובר; זוהי חולשת SD-WAN Manager שמינית שנוספת ל-KEV השנה, ו-Cisco מסרה שאין פתרון עוקף – רק שדרוג לגרסאות מתוקנות.
למה זה חשוב: SD-WAN Manager אחד שולט בניתוב ובתצורה של פוטנציאלית אלפי התקנים, כך שקונסולה אחת שנפרצה עלולה להעניק שליטה ברחבי הרשת.
הנחיית הגנה: לשדרג לגרסה מתוקנת (למשל 20.9.10.1, 20.12.8.2 או 26.2.1 – יש לבדוק את ההודעה של Cisco עבור הענף שלכם), להגביל חשיפה של ה-Manager לאינטרנט, ולחפש בקשות POST לגרסאות מקודדות של /j_security_check.
קבוצת Warlock ממשיכה לנצל SharePoint כדי לכבות כלי אבטחה לפני הצפנה
Symantec ו-Carbon Black מדווחות כי הקבוצה שמאחורי כופרת Warlock (הידועה גם כ-Storm-2603 ו-Longlegs), החשודה כקשורה לסין, ממשיכה לפרוץ לשרתי SharePoint מקומיים שלא עודכנו, ואז מנצלת דרייבר פגיע (K7RKScan.sys) כדי להשבית תוכנות אבטחה.
באחת החדירות למפעיל תשתיות קריטיות, התוקפים השביתו כלי אבטחה בלפחות 40 מחשבים תוך כשעתיים ופרסו כופרה בלפחות 33 מהם; בין הקורבנות היו חברת מים, ספקית תקשורת, גוף ממשלתי אזורי ואוניברסיטה.
למה זה חשוב: יותר משנה אחרי מתקפות ה-ToolShell, שרתי SharePoint שלא עודכנו עדיין מהווים דרך כניסה עובדת, וברגע שההגנות כבויות, הכופרה מתפשטת מהר דרך שכפול דומיין רגיל.
הנחיית הגנה: לעדכן שרתי SharePoint מקומיים, להחליף מפתחות מכונה (machine keys) בשרתים שייתכן שנחשפו, ולחסום או להתריע על הדרייבר הפגיע K7RKScan.sys.
