אירועים נבחרים וספי תיקון
הסקירה מכסה את התקופה מ-2026-09-01 עד 2026-09-30. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.
למקרים שנבחרו הסקירה מאמתת חשיפה או מהדורת אבטחה ואת התנאים שנמסרו במקור. הסקירה אינה טוענת לניצול פעיל או למצב היסטורי ב-CISA KEV או EPSS. מידע חסר על ניצול נשאר לא ידוע.
| תאריך האירוע | מוצר והודעה | תיקונים לפי הענפים המתאימים |
|---|---|---|
| 2026-09-17 | WordPress | 7.1.1 |
| 2026-09-22 | WordPress | CVE-2026-87902 | 7.1.2 |
| 2026-09-29 | OpenSSL | CVE-2026-84783 | 4.0.3 |
| 2026-09-02 | curl | CVE-2026-19931 | 8.22.0 / 8.20.1 / 8.16.1 / 8.14.2 |
WordPress: מהדורת אבטחה ותחזוקה 7.1.1
WordPress 7.1.1 כוללת אחד-עשר תיקוני אבטחה במסלולי הרשאה ו-XSS שמור, לרבות תגובות ותכונות עריכה. חלק מהמקרים תלויים בתפקיד של משתמש מחובר או באישור תגובה. לקבוצת התיקונים יש תנאי גישה שונים.
עדכנו למהדורה נתמכת ואמתו תיקון מתאים בענף ישן יותר. בדקו אישור תגובות, הרשאות תפקידים ופעולות עריכה עם חשבונות בדיקה.
WordPress: הכללת PHP מקומי בתנאים מסוימים (CVE-2026-87902)
בחירת תבנית עמוד עלולה לכלול קובץ PHP מקומי קריא מחוץ לתיקיות התבנית הפעילה. ההודעה דורשת תיקייה בתבנית שמתחילה ב-page- וקובץ יעד מתאים וקריא. הרצת קוד תלויה בנוסף בסביבת השרת; היצרן מציין את 7.1.2 ותיקונים לענפים נפרדים.
בקשו מהאחראי לבדוק את תבנית האב והבת הפעילות ואת תצורת השרת. עדכנו ליבה ובדקו בחירת תבניות ודפי נחיתה מרכזיים; תעדו את גרסת התיקון המדויקת לענף.
OpenSSL: אתחול מקביל של מטמון תעודה (CVE-2026-84783)
OpenSSL 4.0 עלול לשחרר מטמון הרחבות X.509 בעוד שתהליכון אחר משתמש בו בבניות המקבילות הראשונות של שרשרת לאותו CA מהימן. לקוח TLS רב-תהליכוני או שרת שמאמת תעודות לקוח עלולים לקרוס. OpenSSL 3.x אינו מושפע מהמקרה הזה.
אתרו יישומים שמקושרים ל-OpenSSL 4.0 ובררו אם אובייקטי תעודה משותפים לתהליכונים. התקינו את החבילה המתוקנת ובדקו חיבורים מקבילים בסביבה מבוקרת.
curl: זהות Negotiate בחיבור משותף (CVE-2026-19931)
באימות Negotiate עם אישורים ריקים, libcurl עלול להשתמש בחיבור שכבר אומת עבור משתמש אחד כדי לשלוח בקשה של משתמש אחר. הודעת ספטמבר עוסקת בהפרדת זהויות בלקוחות משותפים. היצרן מציין 8.22.0 ותיקונים לענפי תחזוקה.
בדקו לקוחות משותפים שמשתמשים באישורי Negotiate של מערכת ההפעלה. לאחר העדכון בדקו שני חשבונות מבוקרים וודאו שהבקשות שומרות על זהויות נפרדות.
דליפות ואירועי סייבר שדווחו החודש
המקרים האלה תוארו בהודעות פומביות במהלך ספטמבר 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.
| ארגון | הודעה פומבית | אירוע |
|---|---|---|
| Gyazo / Helpfeel | 2026-09-16 | חשיפת מידע |
| Elekta | 2026-09-01 | חשיפת מידע |
Gyazo: חדירה לשרת העלאות ומטא-נתונים של תמונות (2026-09-16)
בהודעה מ-2026-09-16 תיארה Helpfeel ניצול של שרת ההעלאות של Gyazo ב-11 בספטמבר וחשיפת מידע משתמשים ומטא-נתונים של תמונות. חלק מהמטא-נתונים עשוי לאפשר גישה לתמונות. החברה הבחינה בין רשומות לאנשים ודיווחה שלא נחשפו נתוני כרטיסי תשלום.
בדקו מה צילומי מסך וקישורי תמונות מגלים על המערכות שלכם. בטלו קישורי שיתוף שנחשפו כשאפשר, הוציאו סודות מצילומים ובדקו הרשאות העלאה ובידוד שרתים בנפרד מהאתר הראשי.
Elekta: ייצוא פרטי קשר עסקיים (2026-09-01)
ב-2026-09-01 אישרה Elekta גישה והוצאת מידע לא מורשות מחלק מסביבת ה-IT שלה. הערכת החברה הצביעה בעיקר על פרטי קשר עסקיים של לקוחות, ובהם שמות וכתובות דוא"ל בעבודה. ההודעה לא קבעה שנחשפו רשומות טיפול של מטופלים.
כללו פרטי קשר של לקוחות בבדיקת הרשאות גם אם חלקם זמינים במקומות אחרים. הגדירו מי רשאי לייצא אותם וכיצד ניתן להשתמש בהם להתחזות לספק או להסטת התכתבות עסקית.
גבולות הסקירה ורישום עריכתי
זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.
המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.
