תקציר מנהלים
השבוע האקרים הגבירו את החום במקררים של מאות סופרמרקטים בצרפת, קלקלו טונות של מזון ואף גרמו לשריפות. קרוב לבית, יבואנית הרכב הגדולה בישראל הושבתה חלקית במתקפת סייבר, ומשרד התחבורה חסם את גישתה למערכת רישום הרכב הלאומית כאמצעי זהירות.
חדשות פורצות
האקרים הגבירו את החום בבקרי קירור במאות סופרמרקטים בצרפת, קלקלו מזון וגרמו לשריפות
במהלך הלילה של ה-11 באוקטובר, תוקפים הפעילו מרחוק מחזורי הפשרה במערכות קירור מחוברות במאות סופרמרקטים בצרפת – ביניהם לפחות 300 חנויות Intermarché ו-Netto, יותר מ-100 סניפי Coopérative U ו-80 חנויות Carrefour.
הטמפרטורה במקררים ובמקפיאים עלתה עד 50 מעלות צלזיוס, מה שקלקל מזון והצית שריפות; מנכ"ל Intermarché העריך את ההפסדים בעשרות מיליוני אירו ברחבי המדינה ביום אחד. מקור במשרד ראש הממשלה מסר ל-Reuters שסוכנות הסייבר הצרפתית ANSSI זיהתה חולשה בתוכנה של היצרנית הדנית Danfoss, שמסרה שהיחידות שנפגעו הריצו קושחה מיושנת; חברת Claroty פרסמה חודשיים לפני המתקפה מחקר על חולשות עקיפת אימות בבקר של Danfoss.
גורמים רשמיים לא מסרו באיזו חולשה נעשה שימוש או מי עומד מאחורי המתקפה. אם אתם מפעילים בקרי Danfoss מסדרות AK-SM או AK-SC, עדכנו את הקושחה שלהם ונתקו אותם מהאינטרנט הפתוח מיד.
| קטגוריה | כמות | פירוט |
|---|---|---|
| פריצות | 3 | כלמוביל נפגעה ממתקפת סייבר, הפריצה ל-iRhythm אושרה כעת בהיקף של 8.2 מיליון אנשים, תוכנית הנאמנות More Rewards של Save-On-Foods מאשרת פריצה למידע לקוחות |
| חולשות | 3 | האקרים הקשורים לסין ניצלו zero-day ב-BeyondTrust Remote Support, חולשה ב-Cisco Secure Email Gateway, תוקפים מנצלים חולשות בקונסולת הגיבוי AhsayCBS |
| עדכונים | 1 | ה-Patch Tuesday הגדול בתולדות מיקרוסופט |
פריצות ואירועי אבטחה
כלמוביל, יבואנית הרכב הגדולה בישראל, נפגעה ממתקפת סייבר; משרד התחבורה חסם את גישתה למערכת רישום הרכב
כלמוביל, שמייבאת לישראל יונדאי, מיצובישי, מרצדס ומותגים נוספים ומסרה עד כה השנה 62,657 רכבים חדשים, הודיעה ללקוחותיה ב-14 באוקטובר שצוות הטכנולוגיות שלה זיהה אירוע אבטחת מידע, שהוביל להשבתה חלקית ולצמצום הפעילות במרכזי השירות.
ב-16 באוקטובר דיווח "כלכליסט" שמשרד התחבורה הורה לחסום את גישתה של כלמוביל ל"ריכבית", המערכת הלאומית שבה יבואנים רושמים רכבים חדשים, מחשש לאירוע נוסף, ולכן הזמנות מטופלות ידנית; כלמוביל מסרה שהרישומים יחזרו ביום ראשון (18 באוקטובר). החברה לא פרסמה את היקף המתקפה או את אופייה.
למה זה חשוב: השבתה של יבואן אחד יכולה לעכב רישום רכבים חדשים עבור כל לקוחותיו, והצעד של המשרד מראה שפריצה עלולה לנתק אתכם ממערכות ממשלתיות ומערכות של שותפים שאתם תלויים בהן.
הנחיית הגנה: מפו אילו מערכות ממשלתיות ומערכות של שותפים העסק שלכם תלוי בהן, קבעו מראש כיצד ממשיכים לעבוד ידנית אם תנותקו, וודאו שתוכנית התגובה לאירועים כוללת הודעה לגורמים המחוברים אליכם.
הפריצה ל-iRhythm אושרה כעת בהיקף של 8.2 מיליון אנשים, פוטנציאלית כל משתמשי Zio
הגשה לתובע הכללי של מדינת אורגון, שנחשפה ב-15 באוקטובר, מדווחת על כ-8.2 מיליון נפגעים בפריצה ל-iRhythm – האישור הרשמי הראשון להיקפה. יצרנית מכשירי ניטור הלב חשפה את האירוע ביוני: תוקפים השתמשו בהנדסה חברתית כדי לגשת ליישומים עסקיים המתארחים אצל צד שלישי בין 3 ל-8 ביוני, ודרשו תשלום כדי לא לפרסם את המידע שנגנב.
המידע שנחשף כולל שמות, פרטי קשר, תאריכי לידה, מספרי חשבון מטופל, מספרים סידוריים של מכשירים, מספרי ביטוח ותאריכי שירות; iRhythm מסרה שהמכשירים הרפואיים והמערכות הקליניות לא נפגעו.
למה זה חשוב: החברה שירתה יותר מ-8 מיליון מטופלים, כך שהפריצה עשויה לכלול כמעט כל מי שהשתמש במוניטור Zio, ומידע בריאותי כמו מספרים סידוריים של מכשירים ומספרי ביטוח אי אפשר להנפיק מחדש כמו מספר כרטיס אשראי.
הנחיית הגנה: אם אי פעם השתמשתם במוניטור Zio, צפו לקבל מכתב הודעה על הפריצה, היזהרו משיחות או הודעות דוא"ל שמתייחסות לניטור הלב או לביטוח שלכם, ושקלו הקפאת אשראי.
תוכנית הנאמנות More Rewards של Save-On-Foods מאשרת פריצה למידע לקוחות
Pattison Food Group מסרה שזיהתה פעילות חריגה בשרת של More Rewards ב-13 באוקטובר, כיבתה אותו, ואישרה ב-16 באוקטובר שהתבצעה גישה למידע אישי של חברי התוכנית – שמות, ובמקרים שנמסרו גם כתובות, מספרי טלפון, כתובות דוא"ל ותאריכי לידה.
התוכנית משרתת את רשתות Save-On-Foods, Buy-Low Foods, PriceSmart Foods ו-Nesters במערב קנדה; החברה מסרה שסיסמאות, פרטי כרטיסי אשראי והיסטוריית רכישות לא נחשפו, ולא פרטה כמה אנשים נפגעו.
למה זה חשוב: שמות בצירוף תאריכי לידה ופרטי קשר הם בדיוק מה שנדרש להתחזות משכנעת, גם בלי נתוני תשלום.
הנחיית הגנה: אם אתם חברי More Rewards, התעלמו מכל הודעה שמבקשת סיסמה, קוד אימות או פרטי תשלום (לפי הודעת החברה היא לעולם לא תבקש אותם), והיזהרו מהודעות הונאה שמצטטות את שמכם או את יום הולדתכם.
חולשות קריטיות
האקרים הקשורים לסין ניצלו zero-day ב-BeyondTrust Remote Support מאז סוף אוגוסט
BeyondTrust חשפה ב-15 באוקטובר ש-CVE-2026-102764 (ציון CVSS של 9.3), חולשת עקיפת אימות במכשירי Remote Support בהתקנה עצמית (גרסה 26.2.3 ומטה), נוצלה כ-zero-day החל מ-29 באוגוסט. Mandiant של גוגל מקשרת את המתקפות ל-ARMORY CASTLE, קבוצת ריגול החשודה כקשורה לסין, שהשיגה הרשאות root, השתילה דלתות אחוריות מותאמות, מחקה יומנים ופתחה, באמצעות פרטי גישה מנהליים שנפרצו, הפעלות שליטה מרחוק (remote sessions) במערכות הפנימיות.
התיקון יצא ב-8 באוקטובר ולקוחות ה-SaaS עודכנו ב-9 באוקטובר, אך התקנות מקומיות צריכות להתעדכן ידנית, ו-Mandiant מזהירה שייתכן ניצול רחב לאחר שהחולשה פורסמה.
למה זה חשוב: מכשירי תמיכה מרחוק יושבים בגבול הרשת ומחזיקים בהרשאות גבוהות למערכות שמאחוריהם, ולכן מכשיר אחד שנפרץ יכול למסור לתוקפים את המפתחות לאותן מערכות.
הנחיית הגנה: להתקין מיד את התיקון BT26-05 של BeyondTrust, ולהתייחס לכל מכשיר Remote Support בהתקנה עצמית שחשוף לאינטרנט בגרסה פגיעה כאל מכשיר שייתכן שנפרץ עד לבדיקתו – כולל החלפת פרטי הגישה שנשמרו בו.
חולשה ב-Cisco Secure Email Gateway מאפשרת לקובץ מצורף אחד לתת לתוקפים root – ללא פתרון עוקף
Cisco אישרה ניצול פעיל של CVE-2026-76519 (ציון CVSS של 9.8), חולשת path traversal בתכונת Advanced Malware Protection של Cisco Secure Email Gateway: תוקף ששולח קובץ מצורף מעוצב דרך מכשיר פגיע יכול לכתוב קבצים שרירותיים ולהריץ פקודות כ-root.
החולשה רלוונטית כאשר שירות File Reputation מופעל וגרסת Content Scanner Tools מוקדמת מ-25.3.0.5525. CISA הוסיפה אותה לקטלוג ה-KEV עם מועד פדרלי של שלושה ימים (17 באוקטובר), ו-Cisco מסרה שאין פתרון עוקף, אך קיים תיקון.
למה זה חשוב: שער דוא"ל יושב בקצה הרשת ומטפל בכל הודעה נכנסת, ולכן מכשיר מנוצל מעניק לתוקפים דריסת רגל עם הרשאות גבוהות – ו-Cisco מזהירה שמי שמחזיק ב-root עלול להסתיר ראיות.
הנחיית הגנה: לעדכן את Content Scanner Tools לגרסה 25.3.0.5525 ומעלה (ללא שדרוג תוכנה או הפעלה מחדש), ולבדוק יומני רשת וחומת אש מחוץ למכשיר, כמו העלאות בלתי צפויות לכתובות IP חיצוניות.
תוקפים מנצלים חולשות בקונסולת הגיבוי AhsayCBS שתיקונים קודמים לא סגרו במלואן
תוקפים משרשרים שתי חולשות ב-AhsayCBS, קונסולת הניהול של תוכנת הגיבוי של Ahsay שמשמשת בעיקר ספקי שירותים מנוהלים (MSP) – CVE-2026-105133 לעקיפת אימות ו-CVE-2026-105134 להרצת קוד כ-SYSTEM – כדי להשתיל webshells וכורי מטבעות קריפטוגרפיים על שרתים החשופים לאינטרנט.
Huntress דיווחה על התקיפות ב-8 באוקטובר וגילתה שגם גרסה 10.3.4 הייתה פגיעה; Ahsay פרסמה hotfix ב-12 באוקטובר (10.3.4.45 ו-9.15.2.70), ו-CISA הוסיפה מאז את שתי החולשות לקטלוג ה-KEV עם מועד ל-17 באוקטובר.
למה זה חשוב: קונסולות גיבוי של MSP מחזיקות את המפתחות למידע של לקוחות רבים, וזו תזכורת ש"הותקן תיקון" אינו בהכרח "תוקן".
הנחיית הגנה: להתקין את ה-hotfix 10.3.4.45 (גרסה 10) או 9.15.2.70 (גרסאות 7 עד 9), להגביל גישה לקונסולה לכתובות IP מהימנות או ל-VPN, ואם נמצאו סימני פריצה – לבצע re-image מגיבוי מהימן, מכיוון שתוקפים יכולים להסתיר דלתות אחוריות משניות.
עדכונים ותיקוני אבטחה
ה-Patch Tuesday הגדול בתולדות מיקרוסופט: יותר מ-1,400 תיקונים ו-zero-day מנוצל ב-Windows
העדכון של מיקרוסופט לאוקטובר תיקן למעלה מ-1,400 חולשות (BleepingComputer סופרת 1,411, מהן 70 קריטיות), ובהן zero-day אחד שמנוצל בפועל, CVE-2026-96951, חולשה ב-Windows Shell שעוקפת את Mark of the Web כך שקובץ מעוצב יכול לחמוק מהאזהרות ש-Windows מציגה על קבצים שהורדו.
שתי חולשות נוספות פורסמו לפני שהתיקונים יצאו, ו-CISA נתנה לסוכנויות פדרליות עד 16 באוקטובר לתקן את החולשה המנוצלת. העדכון של אוקטובר היה גם האחרון עבור Windows 11 24H2 Home ו-Pro ועבור Windows 10 Enterprise LTSB 2016.
למה זה חשוב: החולשה המנוצלת מסירה את האזהרה שמשתמשים סומכים עליה לפני פתיחת קובץ שהורד, ולכן היא צעד ראשון טבעי בפריצות מבוססות פישינג.
הנחיית הגנה: לתקן קודם את ה-zero-day ב-Windows Shell, ואז את תיקוני ההרצה מרחוק הקריטיים, ולהעביר מכשירי Windows 11 24H2 Home או Pro ו-Windows 10 LTSB 2016 לגרסה נתמכת, כי הם כבר לא מקבלים עדכוני אבטחה. "קבוצות הסיכון" (risk cohorts) הניסיוניות החדשות של מיקרוסופט יכולות לעזור לתעדף את השאר.
