שיתוף | השבוע הכי הזוי באבטחת סייבר ובאינטרנט בכלל: PHP2Shell, חולשות לינוקס, פריצות לשרתים ומיליוני תקיפות, סיכום של מה שקרה, החולשות שנחשפו, הפריצות והקריסות.
-
לא יודע אם שמתם לב, אבל השבוע הזה היה מטורף לגמרי מבחינת אבטחת מידע. לא אירוע אחד גדול, אלא כמה דברים במקביל שהתרחשו בזה אחר זה, וחלקם קשורים אחד לשני. אני מנסה לסדר את זה לפי הסדר, עם הסבר פשוט למי שלא מתעסק בזה יום יום, וקצת יותר פרטים טכניים למי שמבין.
כמובן שזה סיכום ממש קצרצר בלי להיכנס כמעט לפרטים14-15 באוקטובר – Zeabur
פלטפורמה לאירוח אפליקציות (משהו בסגנון של Railway או Render) נפרצה. התוקפים נכנסו עם קרדנציאלים פנימיים שהיו שמורים בטקסט רגיל ולא סובבו אחרי פריצה קודמת באוגוסט. הם משכו כ-320 אלף חשבונות ויותר מ-3 מיליון משתני סביבה (environment variables) – אלה המקומות שבהם אנשים שומרים סיסמאות, מפתחות API וטוקנים.בעברית: מישהו נכנס לשרתים של החברה ולקח את כל הסודות שהמשתמשים שמו שם.
באנגלית
: credentials פנימיים ב-plaintext, גישה ל-platform DB ולחלק מה-dedicated servers, הוספת SSH keys.
אחרי זה הם הודיעו שהם סוגרים את השירות עד סוף דצמבר.15-17 באוקטובר – ConnectWise
חברת ניהול IT נפרצה. תוקפים השתמשו בקרדנציאל של אפליקציה שלהם כדי להיכנס למאות (אולי אלפי) טננטים של Microsoft 365 של לקוחות. מיקרוסופט אומרת שזה היה קשור לקבוצה סינית שהשתמשה בכלי AI כדי לעשות את זה מהר מאוד. ConnectWise השעתה כמה שירותי ענן שלה (גיבוי, ניהול).בעברית: מישהו לקח מפתח של חברת ניהול והשתמש בו כדי להיכנס לחשבונות Office 365 של הרבה חברות אחרות.
אנגלית: compromised application identity (Cloud Backup), sign-ins ל-M365 tenants דרך client assertion, שימוש ב-ARTEX (AI agent framework).21 באוקטובר – PHP2Shell
זה האירוע הכי גדול. התגלו שתי פרצות קריטיות בליבת PHP (CVE-2026-109618 ו-CVE-2026-109619). PHP רץ על בערך 70% מהאתרים בעולם. הפרצות מאפשרות להריץ קוד על השרת בלי להתחבר (RCE).
Cloudflare ו-Amazon דיווחו על מיליוני ניסיונות ניצול. הרבה ממשלות וחברות (פינלנד, הולנד, בריטניה, יפן, ויקיפדיה ועוד) הורידו אתרים זמנית עד שהטליאו. התיקונים יצאו באותו יום לגרסאות הנתמכות.בעברית: נמצאה פרצה בתוכנה שרוב האתרים רצים עליה, אז הרבה אתרים כיבו את עצמם לכמה שעות-יום עד שתיקנו.
באנגלית: שתי memory corruption bugs בליבת PHP, unauthenticated RCE, משפיע על mod_php, PHP-FPM וכו'. ניסיונות ניצול נצפו עוד לפני החשיפה הפומבית.
לדעתי זה מה שהשפיע על המקרה הבא:21 באוקטובר – Railway + LiteLLM
Railway (עוד פלטפורמת אירוח) הודיעה שמישהו נכנס למערכות שאוחסנו בהן משתני סביבה של לקוחות, ובחלק מהמקרים הצליח לפענח אותם (מפתחות API, סיסמאות DB וכו'). הם עצרו את כל ה-deployments. בנוסף, סביבות הבנייה שלהם לא הצליחו לבנות במשך כיומיים.
קיבלתי מייל מהם שאומר שהתוקפים כיוונו בעיקר למודלי AI שאומנו ואוחסנו בסביבות שלהם, ושכל הסודות והטוקנים של המשתמשים בסביבה המוגנת נחשפו וצריך להחליף אותם.
באותו יום LiteLLM (כלי שמרכז בקשות ל-AI models) נפגע ב-supply chain: מישהו גנב טוקנים של מתחזקים והעלה גרסה זדונית שגונבת קרדנציאלים.
בעברית: מישהו נכנס ל-Railway ולקח את הסודות שהמשתמשים שמרו שם, כולל דברים שקשורים ל-AI. גם הבניות עצמן נתקעו ליומיים. אצל LiteLLM מישהו העלה גרסה מזויפת שגונבת מפתחות.
באנגלית: unauthorized access ל-env vars (חלקם decrypted), עצירת deployments, כשל בסביבות ה-build במשך כיומיים, וחשיפת secrets/tokens עם דגש על סביבות AI. ו-supply chain attack על LiteLLM 1.107.0 דרך stolen maintainer tokens.23 באוקטובר – ליבת לינוקס (KSMBD)
נחשפו בטעות פרטים טכניים על כמה פרצות בליבת לינוקס שעדיין לא תוקנו, כולל שתיים קריטיות ב-KSMBD (השרת SMB המובנה בליבה) שמאפשרות RCE מרחוק (CVSS 9.0). וגישת רוט למשתמשים שאינם מנהלים. זה משפיע עדיין על חלק מהפצות לינוקס הגדולות שעדיין לא הוציאו לזה תיקון
בעברית: נמצאו פרצות חמורות בחלק של לינוקס שאחראי על שיתוף קבצים ברשת, ועדיין אין תיקון.
אנגלית: race condition ו-integer underflow ב-KSMBD, out-of-bounds memory access, unauthenticated RCE אפשרי תלוי בקונפיגורציה (SMB Direct וכו').באופן כללי זה נראה שכלי הAI נותנים לתוקפים יכולות לניצול של פרצות אבטחה ולהעמיס רצף של אירועי סייבר שאנחנו לא רגילים לראות בכלל, בשבוע אחד.
Don't ask to ask, Just ask
-
לא יודע אם שמתם לב, אבל השבוע הזה היה מטורף לגמרי מבחינת אבטחת מידע. לא אירוע אחד גדול, אלא כמה דברים במקביל שהתרחשו בזה אחר זה, וחלקם קשורים אחד לשני. אני מנסה לסדר את זה לפי הסדר, עם הסבר פשוט למי שלא מתעסק בזה יום יום, וקצת יותר פרטים טכניים למי שמבין.
כמובן שזה סיכום ממש קצרצר בלי להיכנס כמעט לפרטים14-15 באוקטובר – Zeabur
פלטפורמה לאירוח אפליקציות (משהו בסגנון של Railway או Render) נפרצה. התוקפים נכנסו עם קרדנציאלים פנימיים שהיו שמורים בטקסט רגיל ולא סובבו אחרי פריצה קודמת באוגוסט. הם משכו כ-320 אלף חשבונות ויותר מ-3 מיליון משתני סביבה (environment variables) – אלה המקומות שבהם אנשים שומרים סיסמאות, מפתחות API וטוקנים.בעברית: מישהו נכנס לשרתים של החברה ולקח את כל הסודות שהמשתמשים שמו שם.
באנגלית : credentials פנימיים ב-plaintext, גישה ל-platform DB ולחלק מה-dedicated servers, הוספת SSH keys.
אחרי זה הם הודיעו שהם סוגרים את השירות עד סוף דצמבר.15-17 באוקטובר – ConnectWise
חברת ניהול IT נפרצה. תוקפים השתמשו בקרדנציאל של אפליקציה שלהם כדי להיכנס למאות (אולי אלפי) טננטים של Microsoft 365 של לקוחות. מיקרוסופט אומרת שזה היה קשור לקבוצה סינית שהשתמשה בכלי AI כדי לעשות את זה מהר מאוד. ConnectWise השעתה כמה שירותי ענן שלה (גיבוי, ניהול).בעברית: מישהו לקח מפתח של חברת ניהול והשתמש בו כדי להיכנס לחשבונות Office 365 של הרבה חברות אחרות.
אנגלית: compromised application identity (Cloud Backup), sign-ins ל-M365 tenants דרך client assertion, שימוש ב-ARTEX (AI agent framework).21 באוקטובר – PHP2Shell
זה האירוע הכי גדול. התגלו שתי פרצות קריטיות בליבת PHP (CVE-2026-109618 ו-CVE-2026-109619). PHP רץ על בערך 70% מהאתרים בעולם. הפרצות מאפשרות להריץ קוד על השרת בלי להתחבר (RCE).
Cloudflare ו-Amazon דיווחו על מיליוני ניסיונות ניצול. הרבה ממשלות וחברות (פינלנד, הולנד, בריטניה, יפן, ויקיפדיה ועוד) הורידו אתרים זמנית עד שהטליאו. התיקונים יצאו באותו יום לגרסאות הנתמכות.בעברית: נמצאה פרצה בתוכנה שרוב האתרים רצים עליה, אז הרבה אתרים כיבו את עצמם לכמה שעות-יום עד שתיקנו.
באנגלית: שתי memory corruption bugs בליבת PHP, unauthenticated RCE, משפיע על mod_php, PHP-FPM וכו'. ניסיונות ניצול נצפו עוד לפני החשיפה הפומבית.
לדעתי זה מה שהשפיע על המקרה הבא:21 באוקטובר – Railway + LiteLLM
Railway (עוד פלטפורמת אירוח) הודיעה שמישהו נכנס למערכות שאוחסנו בהן משתני סביבה של לקוחות, ובחלק מהמקרים הצליח לפענח אותם (מפתחות API, סיסמאות DB וכו'). הם עצרו את כל ה-deployments. בנוסף, סביבות הבנייה שלהם לא הצליחו לבנות במשך כיומיים.
קיבלתי מייל מהם שאומר שהתוקפים כיוונו בעיקר למודלי AI שאומנו ואוחסנו בסביבות שלהם, ושכל הסודות והטוקנים של המשתמשים בסביבה המוגנת נחשפו וצריך להחליף אותם.
באותו יום LiteLLM (כלי שמרכז בקשות ל-AI models) נפגע ב-supply chain: מישהו גנב טוקנים של מתחזקים והעלה גרסה זדונית שגונבת קרדנציאלים.
בעברית: מישהו נכנס ל-Railway ולקח את הסודות שהמשתמשים שמרו שם, כולל דברים שקשורים ל-AI. גם הבניות עצמן נתקעו ליומיים. אצל LiteLLM מישהו העלה גרסה מזויפת שגונבת מפתחות.
באנגלית: unauthorized access ל-env vars (חלקם decrypted), עצירת deployments, כשל בסביבות ה-build במשך כיומיים, וחשיפת secrets/tokens עם דגש על סביבות AI. ו-supply chain attack על LiteLLM 1.107.0 דרך stolen maintainer tokens.23 באוקטובר – ליבת לינוקס (KSMBD)
נחשפו בטעות פרטים טכניים על כמה פרצות בליבת לינוקס שעדיין לא תוקנו, כולל שתיים קריטיות ב-KSMBD (השרת SMB המובנה בליבה) שמאפשרות RCE מרחוק (CVSS 9.0). וגישת רוט למשתמשים שאינם מנהלים. זה משפיע עדיין על חלק מהפצות לינוקס הגדולות שעדיין לא הוציאו לזה תיקון
בעברית: נמצאו פרצות חמורות בחלק של לינוקס שאחראי על שיתוף קבצים ברשת, ועדיין אין תיקון.
אנגלית: race condition ו-integer underflow ב-KSMBD, out-of-bounds memory access, unauthenticated RCE אפשרי תלוי בקונפיגורציה (SMB Direct וכו').באופן כללי זה נראה שכלי הAI נותנים לתוקפים יכולות לניצול של פרצות אבטחה ולהעמיס רצף של אירועי סייבר שאנחנו לא רגילים לראות בכלל, בשבוע אחד.
-
לא יודע אם שמתם לב, אבל השבוע הזה היה מטורף לגמרי מבחינת אבטחת מידע. לא אירוע אחד גדול, אלא כמה דברים במקביל שהתרחשו בזה אחר זה, וחלקם קשורים אחד לשני. אני מנסה לסדר את זה לפי הסדר, עם הסבר פשוט למי שלא מתעסק בזה יום יום, וקצת יותר פרטים טכניים למי שמבין.
כמובן שזה סיכום ממש קצרצר בלי להיכנס כמעט לפרטים14-15 באוקטובר – Zeabur
פלטפורמה לאירוח אפליקציות (משהו בסגנון של Railway או Render) נפרצה. התוקפים נכנסו עם קרדנציאלים פנימיים שהיו שמורים בטקסט רגיל ולא סובבו אחרי פריצה קודמת באוגוסט. הם משכו כ-320 אלף חשבונות ויותר מ-3 מיליון משתני סביבה (environment variables) – אלה המקומות שבהם אנשים שומרים סיסמאות, מפתחות API וטוקנים.בעברית: מישהו נכנס לשרתים של החברה ולקח את כל הסודות שהמשתמשים שמו שם.
באנגלית : credentials פנימיים ב-plaintext, גישה ל-platform DB ולחלק מה-dedicated servers, הוספת SSH keys.
אחרי זה הם הודיעו שהם סוגרים את השירות עד סוף דצמבר.15-17 באוקטובר – ConnectWise
חברת ניהול IT נפרצה. תוקפים השתמשו בקרדנציאל של אפליקציה שלהם כדי להיכנס למאות (אולי אלפי) טננטים של Microsoft 365 של לקוחות. מיקרוסופט אומרת שזה היה קשור לקבוצה סינית שהשתמשה בכלי AI כדי לעשות את זה מהר מאוד. ConnectWise השעתה כמה שירותי ענן שלה (גיבוי, ניהול).בעברית: מישהו לקח מפתח של חברת ניהול והשתמש בו כדי להיכנס לחשבונות Office 365 של הרבה חברות אחרות.
אנגלית: compromised application identity (Cloud Backup), sign-ins ל-M365 tenants דרך client assertion, שימוש ב-ARTEX (AI agent framework).21 באוקטובר – PHP2Shell
זה האירוע הכי גדול. התגלו שתי פרצות קריטיות בליבת PHP (CVE-2026-109618 ו-CVE-2026-109619). PHP רץ על בערך 70% מהאתרים בעולם. הפרצות מאפשרות להריץ קוד על השרת בלי להתחבר (RCE).
Cloudflare ו-Amazon דיווחו על מיליוני ניסיונות ניצול. הרבה ממשלות וחברות (פינלנד, הולנד, בריטניה, יפן, ויקיפדיה ועוד) הורידו אתרים זמנית עד שהטליאו. התיקונים יצאו באותו יום לגרסאות הנתמכות.בעברית: נמצאה פרצה בתוכנה שרוב האתרים רצים עליה, אז הרבה אתרים כיבו את עצמם לכמה שעות-יום עד שתיקנו.
באנגלית: שתי memory corruption bugs בליבת PHP, unauthenticated RCE, משפיע על mod_php, PHP-FPM וכו'. ניסיונות ניצול נצפו עוד לפני החשיפה הפומבית.
לדעתי זה מה שהשפיע על המקרה הבא:21 באוקטובר – Railway + LiteLLM
Railway (עוד פלטפורמת אירוח) הודיעה שמישהו נכנס למערכות שאוחסנו בהן משתני סביבה של לקוחות, ובחלק מהמקרים הצליח לפענח אותם (מפתחות API, סיסמאות DB וכו'). הם עצרו את כל ה-deployments. בנוסף, סביבות הבנייה שלהם לא הצליחו לבנות במשך כיומיים.
קיבלתי מייל מהם שאומר שהתוקפים כיוונו בעיקר למודלי AI שאומנו ואוחסנו בסביבות שלהם, ושכל הסודות והטוקנים של המשתמשים בסביבה המוגנת נחשפו וצריך להחליף אותם.
באותו יום LiteLLM (כלי שמרכז בקשות ל-AI models) נפגע ב-supply chain: מישהו גנב טוקנים של מתחזקים והעלה גרסה זדונית שגונבת קרדנציאלים.
בעברית: מישהו נכנס ל-Railway ולקח את הסודות שהמשתמשים שמרו שם, כולל דברים שקשורים ל-AI. גם הבניות עצמן נתקעו ליומיים. אצל LiteLLM מישהו העלה גרסה מזויפת שגונבת מפתחות.
באנגלית: unauthorized access ל-env vars (חלקם decrypted), עצירת deployments, כשל בסביבות ה-build במשך כיומיים, וחשיפת secrets/tokens עם דגש על סביבות AI. ו-supply chain attack על LiteLLM 1.107.0 דרך stolen maintainer tokens.23 באוקטובר – ליבת לינוקס (KSMBD)
נחשפו בטעות פרטים טכניים על כמה פרצות בליבת לינוקס שעדיין לא תוקנו, כולל שתיים קריטיות ב-KSMBD (השרת SMB המובנה בליבה) שמאפשרות RCE מרחוק (CVSS 9.0). וגישת רוט למשתמשים שאינם מנהלים. זה משפיע עדיין על חלק מהפצות לינוקס הגדולות שעדיין לא הוציאו לזה תיקון
בעברית: נמצאו פרצות חמורות בחלק של לינוקס שאחראי על שיתוף קבצים ברשת, ועדיין אין תיקון.
אנגלית: race condition ו-integer underflow ב-KSMBD, out-of-bounds memory access, unauthenticated RCE אפשרי תלוי בקונפיגורציה (SMB Direct וכו').באופן כללי זה נראה שכלי הAI נותנים לתוקפים יכולות לניצול של פרצות אבטחה ולהעמיס רצף של אירועי סייבר שאנחנו לא רגילים לראות בכלל, בשבוע אחד.
-
@Shealtiel מצטרף - אבל היה עוד ארועים - תקן אותי אם אני טועה
שלום! נראה שהשיחה הזו מעניינת אותך, אבל עדיין אין לך חשבון.
נמאס לכם לגלול בין אותם הפוסטים בכל ביקור? כשנרשמים לחשבון, תמיד תחזרו בדיוק למקום שבו הייתם קודם, ותוכלו לבחור לקבל התראות על תגובות חדשות (בין אם במייל, ובין אם בהתראת פוש). תוכלו גם לשמור סימניות ולפרגן ב-upvote לפוסטים כדי להביע הערכה לחברי קהילה אחרים.
בעזרת התרומה שלך, הפוסט הזה יכול להיות אפילו טוב יותר 💗
הרשמה התחברות { const baseUrl = "https://www.google.co.il/search?q=site:mitmachim.top"; const m = location.pathname.match(/^\/(topic|category)\/(\d+)/); const type = m ? m[1] : null; const id = m ? m[2] : null; let searchInput; function search(path = "") { const query = searchInput.value.trim(); if (query) { window.open(`${baseUrl}${path}%20${encodeURIComponent(query)}`, "_blank"); } } let buttons = {}; buttons.searchAll = { id: "bb-search-all", label: `חיפוש ${type ? "בכל הפורום" : ""}`, className: type ? "btn-secondary" : "btn-primary", callback: () => search(), }; if (type === "topic") { buttons.searchTopic = { label: "חיפוש בנושא זה", className: "btn-primary", callback: () => search(`/topic/${id}`), }; } else if (type === "category") { buttons.searchCategory = { label: "חיפוש בקטגוריה זו", className: "btn-primary", callback: () => search(`/category/${id}`), }; } buttons.cancel = { label: "ביטול", className: "btn-default", "data-bs-dismiss": "modal" }; const dialog = bootbox.dialog({ title: '<div style="text-align:center;"><img src="/assets/uploads/files/1625950269825-mt-google.png" width="400" alt="חיפוש בגוגל"></div>', message: '<input id="bb-inp" class="bootbox-input bootbox-input-text form-control" placeholder="הקלידו כדי לחפש בגוגל" autocomplete="off"/>', buttons, backdrop: true, show: true, onEscape: true }); dialog.on("shown.bs.modal", function () { searchInput = document.getElementById("bb-inp"); if (searchInput) { searchInput.focus(); searchInput.addEventListener("keydown", function (e) { if (e.key === "Enter") { e.preventDefault(); const query = this.value.trim(); if (query) { search(); dialog.modal("hide"); } } else if (e.key === "Escape") { e.preventDefault(); dialog.modal("hide"); } }); } const searchAllButton = document.getElementById("bb-search-all"); if (searchAllButton) { searchAllButton.title = "לחצו על אנטר כדי לחפש"; } }); })(); void 0;){kind=link}