[{"data":1,"prerenderedAt":206},["ShallowReactive",2],{"publication:he:D202604":3},{"meta":4,"copy":18,"relatedArticles":161,"terms":198,"term":199,"resourceParent":200,"glossaryParent":203},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":16,"preparedOn":17},"D202604","\u002Fblog\u002Fvulnerability-digest-2026-04","article","דיגסט חולשות לאתרים: אפריל 2026","סקירת סייבר לאפריל 2026","אפריל 2026: חולשות, פריצות ודליפות מידע","סקירת סייבר לאפריל 2026: חולשות תוכנה, אירועים הקשורים ל-Vercel ול-Hasbro, מקורות ובדיקות מעשיות לעסק.",[13,14,15],"\u002Fblog","\u002Fblog\u002Fvulnerability-digest-2026-03","\u002Fblog\u002Fvulnerability-digest-2026-05","2026-05-03","2026-11-06",{"intro":19,"sections":20,"checklistTitle":121,"checklist":122,"faq":125,"sources":135,"links":143,"cta":156},"הבחירה של אפריל מתמקדת בשלוש תכונות אפשריות: עיבוד delta CRL ב-OpenSSL, אימות Digest לפרוקסי ב-curl ושמירת Gravatar מקומית ב-Breeze Cache. התצורה קובעת את התחולה. תעדו אם התכונה הופעלה, ואז קבעו מי יעדכן ומה ייבדק. הגיליון בוחן גם אירועים הקשורים ל-Vercel ול-Hasbro, את ההשלכות שדווחו ואת הבדיקות המתאימות לעסק המשתמש בשירותים דומים.",[21,45,54,66,79,98,107,116],{"title":22,"paragraphs":23,"table":26},"אירועים נבחרים וספי תיקון",[24,25],"הסקירה מכסה את התקופה מ-2026-04-01 עד 2026-04-30. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.","ההודעות מאמתות את החשיפות, התיקונים והתנאים שנבחרו. סעיף Breeze Cache כולל גם תצפיות Wordfence שפורסמו מאוחר יותר על ניסיונות באפריל. לא נטען למצב היסטורי ב-CISA KEV או EPSS. ניצול של שאר המקרים שנבחרו אינו מאומת בסקירה זו.",{"caption":27,"headers":28,"rows":32},"חשיפות ומהדורות אבטחה נבחרות: אפריל 2026",[29,30,31],"תאריך האירוע","מוצר והודעה","תיקונים לפי הענפים המתאימים",[33,37,41],[34,35,36],"2026-04-07","OpenSSL | CVE-2026-28388","3.6.2 \u002F 3.5.6 \u002F 3.4.5 \u002F 3.3.7 \u002F 3.0.20",[38,39,40],"2026-04-29","curl | CVE-2026-7168","8.20.0 \u002F 8.16.1 \u002F 8.14.2",[42,43,44],"2026-04-23","Breeze Cache | CVE-2026-3844","2.4.5",{"title":46,"paragraphs":47,"sources":50},"OpenSSL: רשימת ביטול delta CRL פגומה (CVE-2026-28388)",[48,49],"רשימת ביטול תעודות מסוג delta CRL שנבנתה באופן פגום עלולה להפיל יישום כאשר עיבוד delta CRL מופעל ומתקיימים תנאי התעודה או רשימת הבסיס. OpenSSL מדרגת את המקרה כנמוך ומגבילה את ההשפעה למניעת שירות. לא מתוארת הרצת קוד או חשיפת זיכרון.","בררו עם האחראי אם אימות delta CRL מופעל. בדקו את החבילה בענף המתאים ולאחר העדכון בדקו את התנהגות ביטול התעודות בסביבת בדיקות.",[51],{"label":52,"url":53},"CVE-2026-28388 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-28388",{"title":55,"paragraphs":56,"sources":59},"curl: אישורי Digest בין שרתי פרוקסי (CVE-2026-7168)",[57,58],"שימוש חוזר באותו handle של libcurl תוך החלפת פרוקסי HTTP עלול לשלוח את אישור ה-Digest של הפרוקסי הראשון לשני. curl פרסמה את ההודעה יחד עם המהדורה של 29 באפריל. רשומת CNA הופיעה במאי; תאריך הרשומה המאוחר אינו משנה את חודש המהדורה.","בדקו יישומים שמחליפים שרתי פרוקסי במאגר לקוחות משותף. ודאו שהספרייה או תיקון ההפצה הותקנו ובדקו שכל פרוקסי מקבל רק את האישורים שלו.",[60,63],{"label":61,"url":62},"curl advisory CVE-2026-7168","https:\u002F\u002Fcurl.se\u002Fdocs\u002FCVE-2026-7168.html",{"label":64,"url":65},"CVE-2026-7168 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-7168",{"title":67,"paragraphs":68,"sources":72},"Breeze Cache: קובצי Gravatar מקומיים (CVE-2026-3844)",[69,70,71],"Breeze Cache עד 2.4.4 כולל עלול לאפשר העלאת קבצים ללא אימות ובהמשך הרצת קוד, כאשר האפשרות Host Files Locally - Gravatars מופעלת. האפשרות כבויה כברירת מחדל. רשומת CNA פורסמה ב-23 באפריל.","בדקו את ההגדרה ואת גרסת התוסף שנפרסה ועדכנו. לאחר מכן בדקו תמונות ומטמון; קבצים לא צפויים שהועלו דורשים בירור נפרד, והעדכון כשלעצמו אינו מנקה אותם.","בדוח שפורסם ב-5 במאי, Wordfence מייחסת ניסיונות ניצול שנחסמו ל-22 באפריל וגל גדול יותר ל-24-29 באפריל. זוהי טלמטריה שפורסמה מאוחר יותר על אפריל, ולא מידע שהיה זמין מהדוח בסוף החודש.",[73,76],{"label":74,"url":75},"CVE-2026-3844 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-3844",{"label":77,"url":78},"Wordfence original research: Breeze Cache","https:\u002F\u002Fwww.wordfence.com\u002Fblog\u002F2026\u002F05\u002Fattackers-actively-exploiting-critical-vulnerability-in-breeze-cache-plugin\u002F",{"title":80,"paragraphs":81,"table":83},"דליפות ואירועי סייבר שדווחו החודש",[82],"המקרים האלה תוארו בהודעות פומביות במהלך אפריל 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.",{"caption":84,"headers":85,"rows":89},"הודעות על אירועים: אפריל 2026",[86,87,88],"ארגון","הודעה פומבית","אירוע",[90,94],[91,92,93],"Vercel","2026-04-19","גישה לא מורשית לחשבונות",[95,96,97],"Hasbro","2026-04-01","שיבוש תפעולי",{"title":99,"paragraphs":100,"sources":103},"Vercel: ספק כלי AI וחשיפת משתני סביבה (2026-04-19)",[101,102],"בעלון מ-19 באפריל קישרה Vercel את הגישה הלא מורשית לחשבונות עובד ב-Context.ai וב-Google Workspace. חלק ממשתני הסביבה של לקוחות שלא סומנו sensitive נפגעו. הסיווג תיאר את הגדרת האחסון ולא הבטיח שתוכן המשתנים אינו רגיש.","בדקו הרשאות OAuth שניתנו לכלי AI ולשירותי SaaS אחרים. סווגו סודות פריסה במפורש, בררו אילו פרטי גישה נחשפו והחליפו אותם יחד עם גישות תלויות שהם מאפשרים.",[104],{"label":105,"url":106},"Vercel: הודעה על האירוע","https:\u002F\u002Fvercel.com\u002Fkb\u002Fbulletin\u002Fvercel-april-2026-security-incident",{"title":108,"paragraphs":109,"sources":112},"Hasbro: דיווח באפריל על חדירה שהתגלתה במרץ (2026-04-01)",[110,111],"בדיווח מ-2026-04-01 מסרה Hasbro כי גישה לא מורשית לרשת התגלתה ב-2026-03-28. מערכות מסוימות הושבתו, והחברה הפעילה תהליכים זמניים להזמנות ולמשלוחים. מלוא ההשלכות טרם נקבעו באותו שלב.","תעדו כיצד מקבלים הזמנות ושולחים סחורה בזמן בידוד מערכות. הגדירו מי מתאים את הרישומים הזמניים לאחר השחזור; אתר שחזר לפעול אינו מאמת לבדו את תקינות תהליך המכירה כולו.",[113],{"label":114,"url":115},"Hasbro \u002F SEC Form 8-K: הודעה על האירוע","https:\u002F\u002Fwww.sec.gov\u002FArchives\u002Fedgar\u002Fdata\u002F46080\u002F000004608026000013\u002Fhas-20260401.htm",{"title":117,"paragraphs":118},"גבולות הסקירה ורישום עריכתי",[119,120],"זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.","המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.","בדיקות להעברה לאחראי התחזוקה",[49,58,70,123,124],"תעדו את החבילה או התמונה המותקנת, את התנאי הרלוונטי ואת האחראי לשינוי.","תאמו גיבוי, הפעלה מחדש וחזרה לאחור, ואז בדקו פניות, כניסה ואינטגרציות מושפעות עם נתונים מבוקרים.",[126,129,132],{"question":127,"answer":128},"האם להתקין את הגרסה הישנה שמופיעה בטבלה?","המספרים מזהים את התיקון ההיסטורי לכל ענף. בחרו מהדורה שנתמכת במועד ההתקנה או חבילת הפצה עם תיקון מאומת. תעדו את מהדורת החבילה שהותקנה בפועל.",{"question":130,"answer":131},"האם עדכון מוכיח שהאתר לא נפרץ?","עדכון סוגר את המסלול בתוכנה המושפעת. שינויים חשודים בלוגים, בחשבונות או בקבצים דורשים חקירה נפרדת ובדיקת שחזור. התקנה מוצלחת כשלעצמה אינה משלימה טיפול באירוע.",{"question":133,"answer":134},"מדוע תאריך המתקפה עשוי להיות שונה מחודש הסקירה?","ההודעות בחלק זה מקובצות לפי חודש הפרסום הפומבי. תאריך גילוי מוקדם יותר מצוין בנפרד אם המקור מספק אותו. חקירה מאוחרת או פרסום חוזר של מאגר ישן אינם מוצגים כמתקפה חדשה.",[136,137,138,139,140,141,142],{"label":52,"url":53},{"label":61,"url":62},{"label":64,"url":65},{"label":74,"url":75},{"label":77,"url":78},{"label":105,"url":106},{"label":114,"url":115},[144,146,148,151,154],{"path":14,"label":145},"הגיליון הקודם: מרץ 2026",{"path":15,"label":147},"הגיליון הבא: מאי 2026",{"path":149,"label":150},"\u002Fblog\u002Fvulnerability-prioritization","איך לתעדף טיפול בחולשות",{"path":152,"label":153},"\u002Fservices\u002Fsecurity-audit","תיאום בדיקת אבטחה לאתר",{"path":13,"label":155},"כל המאמרים",{"title":157,"description":158,"button":159,"type":160},"נבדוק אילו עדכונים נוגעים לאתר שלכם","שלחו את כתובת האתר ואת פרטי האחסון או היישום הידועים לכם. נתאם תחולה, היקף תחזוקה ובדיקות לאחר השינוי.","תיאום היקף העדכונים","check",[162,174,183,191],{"id":163,"path":14,"title":164,"description":165,"category":166,"artwork":167,"order":168,"publishedOn":169,"period":170,"related":171},"D202603","סקירת סייבר למרץ 2026","סקירת סייבר למרץ 2026: חולשות תוכנה, אירועים הקשורים ל-Loblaw ול-Stryker, מקורות ובדיקות מעשיות לעסק.","digest","vulnerability-digest",8,"2026-04-03","2026-03",[172,6,149,173],"\u002Fblog\u002Fvulnerability-digest-2026-02","\u002Fblog\u002Fwhy-website-updates-matter",{"id":175,"path":15,"title":176,"description":177,"category":166,"artwork":167,"order":178,"publishedOn":179,"period":180,"related":181},"D202605","סקירת סייבר למאי 2026","סקירת סייבר למאי 2026: חולשות תוכנה, אירועים הקשורים ל-Instructure \u002F Canvas ול-Carnival Corporation, מקורות ובדיקות מעשיות לעסק.",6,"2026-06-03","2026-05",[6,182,149,173],"\u002Fblog\u002Fvulnerability-digest-2026-06",{"id":184,"path":149,"title":185,"description":186,"category":187,"artwork":188,"order":189,"publishedOn":190},"P083","איך מתעדפים חולשות CVE בעסק ומה מתקנים קודם","תעדוף חולשות באתר ובתשתיות: התאמה למוצר ולגרסה, ניצול מוכר, CVSS, EPSS, חשיפה והשפעה עסקית. טבלת החלטה ובדיקות סיום לכל תיקון.","operations","security",82,"2026-10-22",{"id":192,"path":173,"title":193,"description":194,"category":195,"artwork":195,"order":196,"publishedOn":197},"updates","עדכון אתר וורדפרס: מה בודקים לפני ואחרי","עדכון אתר וורדפרס כולל הכנת גיבוי, בדיקת תאימות ובדיקות תפקוד לאחר השינוי. המטרה היא לשמור על תוכנה נתמכת ולזהות תקלות בזמן. המדריך מתאים לבעלי אתרים שרוצים להבין את התהליך לפני ביצוע או הזמנת תחזוקה.","websites",107,"2026-04-21",[],null,{"path":201,"label":202},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":204,"label":205},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134061728]