אירועים נבחרים וספי תיקון
הסקירה מכסה את התקופה מ-2026-01-01 עד 2026-01-31. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.
למקרים שנבחרו הסקירה מאמתת חשיפה או מהדורת אבטחה ואת התנאים שנמסרו במקור. הסקירה אינה טוענת לניצול פעיל או למצב היסטורי ב-CISA KEV או EPSS. מידע חסר על ניצול נשאר לא ידוע.
| תאריך האירוע | מוצר והודעה | תיקונים לפי הענפים המתאימים |
|---|---|---|
| 2026-01-27 | OpenSSL | CVE-2025-15467 | 3.6.1 / 3.5.5 / 3.4.4 / 3.3.6 / 3.0.19 |
| 2026-01-13 | Node.js | CVE-2025-59465 | 20.20.0 / 22.22.0 / 24.13.0 / 25.3.0 |
| 2026-01-07 | curl | CVE-2025-14524 | 8.18.0 / 8.16.1 / 8.14.2 |
OpenSSL: פענוח הודעות CMS (CVE-2025-15467)
הודעת CMS שנבנתה במיוחד ומשתמשת בהצפנת AEAD עלולה לגרום לגלישת חוצץ במחסנית, לקריסה או להרצת קוד. הבדיקה נוגעת ליישומים שמפענחים תוכן CMS או PKCS#7 לא מהימן, לרבות תהליכי S/MIME מסוימים. שימוש רגיל ב-TLS כשלעצמו אינו מוכיח שהמסלול הזה חשוף.
מפו שירותי דואר ומסמכים שמעבדים את הפורמטים האלה. בדקו איזו ספרייה נטענת בכל שירות ומהי מהדורת החבילה המתוקנת, ואז תאמו הפעלה מחדש.
Node.js: קריסת תהליך HTTP/2 (CVE-2025-59465)
כותרות HTTP/2 פגומות עלולות לגרום לשגיאת שקע שלא מטופלת ולסיום תהליך Node.js. הודעת ינואר מתייחסת לענפים 20, 22, 24 ו-25 שהיו פעילים אז. החשיפה תלויה במיקום סיום חיבור HTTP/2 ובטיפול בשגיאות של שקעים מאובטחים.
בדקו אם Node.js עצמו מקבל HTTP/2 או שהחיבור מסתיים בפרוקסי. פרסו סביבת ריצה מתוקנת ונתמכת ובדקו את זמינות ה-API ואת הפעלת היישום מחדש.
curl: אסימון בהפניה לפרוטוקול אחר (CVE-2025-14524)
בקשת HTTP עם אסימון OAuth2 bearer עלולה להעביר אותו ליעד אחר בעקבות הפניה ל-IMAP, LDAP, POP3 או SMTP. הודעת curl פורסמה בינואר אף שמזהה CVE מתחיל ב-2025. תיקונים זמינים גם בענפי התחזוקה הישנים שמופיעים בטבלה.
בדקו את מדיניות ההפניות בלקוח ה-API ואת גרסת libcurl המוטמעת. לאחר העדכון בדקו בקשה מורשית רגילה; אם הלוג מצביע על יעד לא צפוי, בדקו אם נדרשת החלפת אסימון.
דליפות ואירועי סייבר שדווחו החודש
המקרים האלה תוארו בהודעות פומביות במהלך ינואר 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.
| ארגון | הודעה פומבית | אירוע |
|---|---|---|
| Betterment | 2026-01-09 | גישה לא מורשית לחשבונות |
| Manage My Health | 2026-01-01 | חשיפת מידע |
Betterment: הודעות הונאה דרך מערכת שיווק (2026-01-09)
ב-2026-01-09 דיווחה Betterment על הצעת קריפטו לא מורשית שנשלחה דרך מערכת תקשורת חיצונית. בעדכון מ-12 בינואר ייחסה החברה את הגישה להנדסה חברתית ודיווחה על חשיפת חלק מפרטי הקשר של לקוחות; לדבריה, חשבונות הלקוחות והסיסמאות לא נפגעו.
בעסק המשתמש בשירותי דיוור או הודעות דחיפה, בדקו מי רשאי לשלוח קמפיינים ולייצא אנשי קשר. הגדירו אישור נוסף להצעות כספיות ודרך לבטל סשנים ואסימוני גישה של הספק.
Manage My Health: דליפת מסמכים שנחשפה בינואר (2026-01-01)
בהודעת Manage My Health מ-2 בינואר נרשמו גילוי האירוע ב-2025-12-30 והודעה פומבית ראשונה ב-2026-01-01. הבדיקה הראשונית עסקה בקבוצת מסמכי מטופלים; באותו שלב לא נמצאו ראיות לגישה לפרטי התחברות או למסד המטופלים המרכזי.
בדקו הרשאות לאחסון מסמכים בנפרד מהגנת הכניסה לחשבון. מפו קבצים רפואיים והעתקי תעודות שיוצאו מהמערכת, צמצמו גישה לפי צורך ושמרו יומני גישה לבירור אירוע.
גבולות הסקירה ורישום עריכתי
זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.
המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.
