תקציר מנהלים
השבוע נאלצו בנקים, בתי חולים וחנויות להוריד אתרים מהאוויר כדי להספיק לעדכן חולשה בתוכנה שעליה נשענים כ-70% מהאתרים ברשת. קרוב לבית, לא ידוע לנו על אירוע גדול בישראל השבוע, אבל זו לא סיבה להירגע – כדאי להכיר את האיומים שלמטה.
חדשות פורצות
חולשות PHP2Shell הקריטיות אילצו אתרים לרדת מהאוויר, וכבר אושרו פריצות אמיתיות
שתי חולשות קריטיות ב-PHP, שזכו לשם PHP2Shell (CVE-2026-109618 ו-CVE-2026-109619), מאפשרות לתוקף להריץ קוד בשרת פגיע דרך האינטרנט, בלי שום אימות. פרויקט PHP פרסם תיקונים ב-21 באוקטובר (גרסאות 8.5.12, 8.4.27, 8.3.36 ו-8.2.35), ובנקים, קמעונאים, בתי חולים וכמה גופי ממשל הורידו שרתים מהאוויר כדי לעדכן.
אמזון זיהתה ניצול כשבוע לפני שהתיקונים יצאו; מנכ"ל Cloudflare מסר שמספר הניסיונות עלה בצורה מעריכית, ובוטנט מסוג Mirai ניסה לנצל את החולשות. חברות Palo Alto Networks ו-Trail of Bits אישרו כעת פריצות אמיתיות ופעילות לאחר ניצול.
כ-70% מהאתרים באינטרנט נשענים על PHP, ולגרסאות שהגיעו לסוף חייהן אין תיקון רשמי. עדכנו מיד, שדרגו או בודדו גרסאות PHP שאינן נתמכות, וחפשו סימני ניצול החל מ-17 באוקטובר.
| קטגוריה | כמות | פירוט |
|---|---|---|
| פריצות | 3 | האקרים הקשורים לסין תקפו יותר מ-2,250 דיירי Microsoft 365 דרך ConnectWise, פריצה למערכת Quanum של Quest Diagnostics, Capcom מאשרת חשיפה של 11.7 מיליון חשבונות CAPCOM ID |
| חולשות | 2 | חולשת zero-day שלישית ב-Arista VeloCloud Orchestrator, מהדורה זדונית של LiteLLM גונבת פרטי גישה לענן ולכלי AI |
| עדכונים | 1 | עדכון Oracle של אוקטובר מתקן למעלה מ-1,200 חולשות |
פריצות ואירועי אבטחה
האקרים הקשורים לסין תקפו בעזרת סוכני AI יותר מ-2,250 דיירי Microsoft 365, דרך פריצה ל-ConnectWise
לפי מיקרוסופט, Storm-0940, קבוצה הקשורה למדינת סין, פרצה לשירות הגיבוי בענן של ConnectWise וגנבה פרטי גישה של אפליקציה ששימשו לחיבור השירות לסביבות Microsoft 365 של הלקוחות. בעזרת פרטי הגישה האלה ומסגרת קוד פתוח לסוכני AI בשם ARTEX, ניסתה הקבוצה להתחבר ליותר מ-2,250 דיירים, בקצב של עד 2,900 ניסיונות בדקה ובלי צורך בהתחברות אינטראקטיבית של משתמש.
רוב הניסיונות נכשלו, אבל לדברי מיקרוסופט התוקפים השיגו בארגונים רבים גישה מתמשכת עם הרשאות גבוהות, ובחלק מהמקרים הגיעו להרשאות מנהל בענן תוך פחות משלוש שעות. ConnectWise השהתה את הגישה לשירות בזמן החקירה, ועד יום חמישי עבדה על החזרתו לפעולה.
למה זה חשוב: התוקפים לא פרצו ל-2,250 חברות אחת-אחת. הם ניצלו אמון שהלקוחות כבר נתנו לאפליקציה של ספק אחד, ולכן לא הייתה התחברות של משתמש שאפשר להגן עליה.
הנחיית הגנה: בדקו את ה-service principals, הרשאות ה-OAuth ופרטי הגישה של אפליקציות בסביבת Microsoft 365 שלכם, במיוחד אלה שניתנו לספקי גיבוי, MSP וניהול מרחוק. הסירו מה שאינו נחוץ, והגדירו התראה על התחברויות של service principals בנפח חריג או ממיקומים לא צפויים.
פריצה למערכת הזמנת הבדיקות Quanum של Quest Diagnostics: נעשתה גישה לרשומות מטופלים
בדיווח ל-SEC מסרה Quest שנודע לה ב-21 באוקטובר על מתקפת סייבר על Quanum, המערכת שבה מרפאות, בתי חולים ומשרדי רופאים מזמינים בדיקות מעבדה, צופים בתוצאות ומטפלים בחיוב, ושנעשתה גישה ל"רשומות מטופלים מסוימות".
לדברי Quest נגנב מידע בריאותי מוגן, כולל מידע אישי ורשומות מטופלים, אבל היא עוד בודקת מה בדיוק נלקח. עדיין לא פורסם כמה מטופלים נפגעו, מתי החלה החדירה והאם התוקפים הציבו דרישות. לפי Quest, מערכת Quanum משרתת כחצי מיליון רופאים ברחבי צפון אמריקה.
למה זה חשוב: מערכת להזמנת בדיקות מעבדה מרכזת הזמנות, תוצאות ונתוני חיוב של מספר עצום של מטופלים, ולכן חדירה אחת עלולה לחשוף רשומות של ספקי בריאות רבים בבת אחת.
הנחיית הגנה: אם אתם ספק שירותי בריאות שעובד עם Quanum, עיינו בהודעה של Quest, בדקו אילו נתוני מטופלים עוברים דרכה והתכוננו להודעה למטופלים. מטופלים שביצעו בדיקות דרך Quest צריכים לצפות למכתב ולהיזהר משיחות או ממיילים על תוצאות או חיוב.
פריצה ל-CAPCOM ID: Capcom מאשרת שנחשפו נתוני 11.7 מיליון חשבונות
Capcom מסרה שגורם לא מורשה ניגש לשירות החשבונות CAPCOM ID שלה וחשף 11,774,247 רשומות: כתובות מייל, לצד תאריך יצירת החשבון, זמן ההתחברות האחרונה, מספר ההתחברויות וכתובת ה-IP של ההתחברות האחרונה. ב-43 חשבונות נחשפו גם תאריך לידה, מגדר, מדינה וכינוי.
החברה זיהתה את החדירה ב-19 באוקטובר ומסרה שלא מצאה ראיות לכך שסיסמאות הלקוחות עצמן נפרצו, אבל התוקפים שינו סיסמאות ב-196 חשבונות, והחברה איפסה אותן. נתוני כרטיסי אשראי לא נפגעו, ו-Capcom לא פירטה איך התוקפים נכנסו.
למה זה חשוב: כתובות מייל המקושרות לחשבון גיימינג הן רשימה מוכנה להודעות פישינג משכנעות שנראות כאילו נשלחו מ-Capcom, ושינוי הסיסמאות ב-196 חשבונות מראה שהתוקפים ניסו גם להשתלט על חשבונות.
הנחיית הגנה: אם יש לכם חשבון CAPCOM ID, צפו להודעות פישינג שמתחזות ל-Capcom. אל תלחצו על קישורים ואל תפתחו קבצים מצורפים במיילים לא צפויים, והשתמשו בסיסמה ייחודית ובאימות רב-שלבי בכל מקום שבו השתמשתם מחדש בפרטי הגישה של Capcom.
חולשות קריטיות
חולשת zero-day שלישית ב-Arista VeloCloud Orchestrator מנוצלת בתוך ארבעה חודשים
Arista פרסמה תיקון ל-CVE-2026-114625 (ציון CVSS של 9.9), חולשת SQL injection ב-VeloCloud Orchestrator, מערכת הניהול המרכזית של VeloCloud SD-WAN, ומסרה שהיא מנוצלת בפועל. תוקף עם גישת רשת לממשק הווב של ה-Orchestrator ופרטי גישה תקפים, אפילו בהרשאות הנמוכות ביותר, יכול להעלות הרשאות לרמת מפעיל ולהתחזות למשתמש-על.
כל גרסאות VCO שקדמו ל-5.2.3.18, ל-6.1.3.10 ול-6.4.2.12 פגיעות. Arista כבר תיקנה את המופעים המתארחים אצלה, ו-CISA הוסיפה את החולשה לקטלוג ה-KEV ב-23 באוקטובר. זו החולשה המנוצלת השלישית ב-VCO, אחרי חולשות zero-day שנוצלו ביולי ובספטמבר.
למה זה חשוב: שלוש חולשות מנוצלות באותו מוצר בתוך ארבעה חודשים הן דפוס שצריך להתייחס אליו ברצינות, וה-Orchestrator שולט בניתוב ובמדיניות של כל אתר שהוא מנהל.
הנחיית הגנה: שדרגו מופעי VCO מקומיים לגרסה 5.2.3.18, 6.1.3.10 או 6.4.2.12 ומעלה, הציבו בקרות רשת מול ממשק הווב (הוא חשוף כברירת מחדל), חסמו את שתי כתובות ה-IP של התוקפים ש-Arista פרסמה (74.82.197.86 ו-38.54.50.151), ובדקו ביומני המערכת פעילות של מפעילים ומשתמשי-על.
פריצה נוספת ל-LiteLLM: מהדורה זדונית 1.107.0 גונבת פרטי גישה לענן ולכלי AI
תוקפים פרצו ב-21 באוקטובר לצינור השחרור של LiteLLM ופרסמו מהדורה זדונית, 1.107.0, של חבילת הפייתון הפופולרית (כ-23 מיליון הורדות בשבוע), ב-PyPI וכתמונות Docker. הקוד הזדוני הפעיל תוכנה לגניבת פרטי גישה ודלת אחורית כבר בעליית Python, גם אם LiteLLM מעולם לא יובאה, ואסף טוקנים של ענן, מפתחות פרטיים, נתוני דפדפן ופרטי גישה לכלי AI.
לפי LiteLLM, המהדורה שוחררה דרך חשבונות GitHub של שלושה מהנדסים, כנראה בעזרת טוקנים גנובים של GitHub CLI, והחברה עדיין לא איתרה איך הטוקנים הגיעו לידי התוקפים. PyPI העבירה את המהדורה להסגר אחרי כשעתיים, ותמונות ה-Docker הזדוניות הוסרו גם הן. זו הפריצה השנייה לשרשרת האספקה של LiteLLM השנה.
למה זה חשוב: הקוד הזדוני רץ בכל הפעלה של Python בסביבה שנפגעה, ולכן התקנה אחת בצינור בנייה או בשער AI יכולה לחשוף כל מפתח ענן ו-AI שנגיש מאותה מכונה.
הנחיית הגנה: אם מישהו התקין או משך את LiteLLM 1.107.0 ב-21 באוקטובר, התייחסו לסביבה כאל סביבה שנפרצה: החליפו ממכונה נקייה כל פרט גישה שהיה נגיש לה, בנו מחדש מתמונות נקיות, ונעלו את LiteLLM על גרסה 1.106.2 לפי digest.
עדכונים ותיקוני אבטחה
עדכון Oracle של אוקטובר מתקן למעלה מ-1,200 חולשות, ובהן שש בציון החומרה המרבי
עדכון האבטחה הרבעוני של Oracle (20 באוקטובר) כולל 1,295 תיקונים ל-1,209 CVE ייחודיים, ובהם 95 חולשות קריטיות, לפי Tenable. שש חולשות קיבלו את ציון ה-CVSS המרבי, 10.0, ואחת מהן היא CVE-2026-101809, שמאפשרת השתלטות דרך הרשת, בלי אימות, על רכיב Workflow Notification Mailer ב-E-Business Suite בגרסאות 12.2.3 עד 12.2.15.
Fusion Middleware קיבל את מספר התיקונים הגבוה ביותר (206), ו-134 מהם ניתנים לניצול מרחוק בלי אימות. Oracle לא סימנה אף אחת מהחולשות כמנוצלת בשטח.
למה זה חשוב: מערכות Oracle כמו E-Business Suite, PeopleSoft ו-Fusion Middleware יושבות מאחורי כספים, משאבי אנוש ואימות, ורבים מהתיקונים ניתנים לניצול בלי התחברות, ולכן מופעים שחשופים לאינטרנט הם בעדיפות.
הנחיית הגנה: התחילו במופעי Oracle E-Business Suite, Fusion Middleware ו-PeopleSoft שחשופים לאינטרנט: מפו אותם והתקינו עליהם את עדכון אוקטובר, ואז המשיכו ליתר המערכות לפי חשיפה וחשיבות. העדכונים החודשיים של Oracle יגיעו ב-17 בנובמבר וב-15 בדצמבר.
