אירועים נבחרים וספי תיקון
הסקירה מכסה את התקופה מ-2026-06-01 עד 2026-06-30. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.
למקרים שנבחרו הסקירה מאמתת חשיפה או מהדורת אבטחה ואת התנאים שנמסרו במקור. הסקירה אינה טוענת לניצול פעיל או למצב היסטורי ב-CISA KEV או EPSS. מידע חסר על ניצול נשאר לא ידוע.
| תאריך האירוע | מוצר והודעה | תיקונים לפי הענפים המתאימים |
|---|---|---|
| 2026-06-08 | Apache HTTP Server | CVE-2026-49975 | 2.4.68 |
| 2026-06-18 | Node.js | CVE-2026-48618 | 22.23.0 / 24.17.0 / 26.3.1 |
| 2026-06-09 | OpenSSL | CVE-2026-35188 | 4.0.1 / 3.6.3 |
| 2026-06-24 | curl | CVE-2026-11856 | 8.21.0 / 8.20.1 / 8.16.1 / 8.14.2 |
Apache: מיצוי זיכרון ב-HTTP/2 (CVE-2026-49975)
בקשות HTTP זדוניות עלולות לגרום להקצאת זיכרון מופרזת ולמניעת שירות ב-mod_http2. Apache מציינת שהגרסאות מ-2.4.17 עד 2.4.67 מושפעות; התיקון נכלל במהדורת יוני 2.4.68. זהו מקרה HTTP/2 נפרד מהשחרור הכפול של מאי.
בדקו אילו נקודות קצה ציבוריות משתמשות ב-mod_http2 ומי אחראי לעדכון. לאחר התקנת החבילה וטעינת התהליכים מחדש תעדו בדיקות זיכרון וזמינות.
Node.js: נרמול שם מארח ב-TLS (CVE-2026-48618)
טיפול שונה במפרידי נקודות Unicode במפענח הכתובות ובמאמת התעודה עלול לעקוף בדיקת עומק של wildcard. מהדורת יוני של Node.js מתקנת את הבעיה בענפים 22, 24 ו-26. בדקו בקשות TLS יוצאות שבהן מידע לא מהימן יכול להשפיע על שם המארח.
בדקו אימות כתובות URL וסביבות ריצה של webhook, fetch ואינטגרציות. לאחר העדכון בדקו יעדים מורשים וכשלי תעודה מול שירות בדיקה מבוקר.
OpenSSL: בדיקת OCSP stapling בלקוח TLS (CVE-2026-35188)
שרת TLS זדוני עלול לגרום לשחרור כפול בלקוח שבודק תשובות OCSP מצורפות. הדבר יכול לפגוע בזיכרון ולגרום לקריסה; הרצת קוד מתוארת כאפשרית ותלויה בסביבה. במסלול המושפע OCSP stapling אינו מופעל כברירת מחדל.
בדקו לקוחות יוצאים עם OpenSSL 4.0 או 3.6 והגדרת האימות הזאת. התקינו חבילה מתאימה לענף ובדקו קבלה ודחייה של תעודות לאחר הפעלה מחדש.
curl: הרשאת Digest בין מקורות (CVE-2026-11856)
לאחר בקשה עם אימות Digest, החלפת מקור תוך שימוש חוזר באותו handle של libcurl עלולה לשלוח את כותרת Authorization המקורית למארח אחר. הודעת היצרן ליוותה את מהדורת יוני; רשומת CNA הופיעה ביולי. מופיעים גם תיקונים לענפי תחזוקה מסוימים.
אתרו לקוחות אינטגרציה שמחליפים מקור באותו handle. לאחר העדכון בדקו הפרדת אישורים ובחנו לוגים אם נוצר קשר מורשה עם יעד לא צפוי.
דליפות ואירועי סייבר שדווחו החודש
המקרים האלה תוארו בהודעות פומביות במהלך יוני 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.
| ארגון | הודעה פומבית | אירוע |
|---|---|---|
| Novo Nordisk | 2026-06-11 | חשיפת מידע |
| LastPass / Klue | 2026-06-22 | אירוע אצל ספק |
Novo Nordisk: העתקת מידע ממערכות פנימיות (2026-06-11)
ב-2026-06-11 דיווחה Novo Nordisk על גישה לא מורשית למספר מוגבל של מערכות IT פנימיות ועל העתקת מידע לא פומבי, לרבות מידע אישי, אל מחוץ לחברה. חלק מהמערכות הושבתו זמנית. הבדיקה נמשכה וההודעה לא קבעה את מלוא מספר הנפגעים.
בדקו אפשרות לייצוא מידע גם כאשר רק מערכות מעטות נפגעו. מפו יצוא של מידע רגיש ויומני גישה, וקבעו אילו ראיות נדרשות לפני חיבור מערכות מבודדות בחזרה לרשת.
LastPass ו-Klue: גישה ל-CRM דרך אסימוני ספק (2026-06-22)
בהודעה מ-2026-06-22 מסרה LastPass שתוקף השיג אסימוני OAuth שהוחזקו ב-Klue והשתמש בהם לגישה לנתוני CRM ב-Salesforce. לפי LastPass, מוצריה, התשתית וכספות הסיסמאות של הלקוחות לא נפגעו. החברה למדה על אירוע הספק ב-12 ביוני.
מפו חיבורי OAuth הרשאים לקרוא רשומות CRM. בדקו את היקף ההרשאות ואת האפשרות לבטל במהירות חיבור של ספק; ביטול כניסה אינטראקטיבית של משתמש עשוי להשאיר אסימון אינטגרציה פעיל.
גבולות הסקירה ורישום עריכתי
זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.
המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.
