אירועים נבחרים וספי תיקון
הסקירה מכסה את התקופה מ-2026-02-01 עד 2026-02-28. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.
למקרים שנבחרו הסקירה מאמתת חשיפה או מהדורת אבטחה ואת התנאים שנמסרו במקור. הסקירה אינה טוענת לניצול פעיל או למצב היסטורי ב-CISA KEV או EPSS. מידע חסר על ניצול נשאר לא ידוע.
| תאריך האירוע | מוצר והודעה | תיקונים לפי הענפים המתאימים |
|---|---|---|
| 2026-02-04 | NGINX | CVE-2026-1642 | 1.29.5 / 1.28.2 |
| 2026-02-10 | WPvivid Backup | CVE-2026-1357 | 0.9.124 |
| 2026-02-25 | n8n | CVE-2026-27577 | 1.123.22 / 2.9.3 / 2.10.1 |
NGINX: תשובות משרת אחורי עם TLS (CVE-2026-1642)
תוקף שנמצא בין NGINX לשרת אחורי עם TLS עשוי, בתנאים נוספים, להזריק טקסט גלוי לתשובת השרת האחורי. הבדיקה נוגעת לחיבורי פרוקסי הפוך לשרתי HTTPS אחוריים. זהו מקטע תקשורת נפרד מחיבור ה-HTTPS של המבקר לאתר.
בקשו מהאחסון למפות שרתי HTTPS אחוריים ולהתקין חבילת OSS או Plus מתאימה. לאחר השינוי בדקו את מדיניות תעודת השרת האחורי ותשובת יישום שעוברת דרך הפרוקסי.
WPvivid: קבלת גיבוי והעלאת קבצים (CVE-2026-1357)
ב-WPvivid Backup עד 0.9.123 כולל, מפתח שנוצר לקבלת גיבויים מאתר אחר מאפשר מסלול להעלאת קבצים ללא אימות ולהרצת קוד. התכונה כבויה כברירת מחדל. Wordfence פרסמה את הדוח ב-10 בפברואר; הגרסה המתוקנת של התוסף יצאה כבר ב-28 בינואר.
בדקו את מזהה התוסף והאם מפתח קבלת גיבוי היה פעיל. עדכנו את התוסף, סגרו גישה שאינה נדרשת ובצעו בדיקת גיבוי ושחזור מבוקרת.
n8n: עורכי תהליכים ופקודות בשרת (CVE-2026-27577)
משתמש מחובר שמורשה ליצור או לערוך תהליכים יכול לצאת מגבולות מנגנון הביטויים ולהריץ פקודות בשרת n8n. הדבר רלוונטי לאוטומציות באחסון עצמי שמקבלות טפסים או אירועי הזמנה וניגשות למערכות נוספות. לכל אחד משלושת הענפים יש סף תיקון משלו.
עדכנו את ענף n8n שנפרס ובדקו את חשבונות העורכים. העבירו פנייה לאורך תהליך האוטומציה ותעדו לאילו סודות ויעדי רשת התהליך רשאי לגשת.
דליפות ואירועי סייבר שדווחו החודש
המקרים האלה תוארו בהודעות פומביות במהלך פברואר 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.
| ארגון | הודעה פומבית | אירוע |
|---|---|---|
| Odido | 2026-02-12 | חשיפת מידע |
| BridgePay | 2026-02-06 | כופרה והשבתה |
Odido: נתוני קשר של לקוחות בזמן שהשירותים פועלים (2026-02-12)
ב-2026-02-12 אישרה Odido מתקפת סייבר שפגעה במידע אישי במערכת קשרי לקוחות. בהודעה הראשונית הוחרגו סיסמאות, רישומי שיחות ונתוני חשבוניות; שירותי הטלפון, האינטרנט והטלוויזיה המשיכו לפעול.
שירות פעיל כשלעצמו אינו מעיד שרשומות הלקוחות מוגנות. בדקו הרשאות ייצוא מ-CRM וגישות חריגות של חשבונות תמיכה, והגדירו בהודעות ללקוחות אילו סוגי מידע נפגעו.
BridgePay: כופרה שיבשה עיבוד תשלומים (2026-02-06)
בעדכוני מצב מ-2026-02-06 קישרה BridgePay את השבתת מערכותיה למתקפת כופרה. ממצאי הבדיקה הראשוניים לא הצביעו על פגיעה בנתוני כרטיסי תשלום. השיבוש התפעולי המאומת והערכת חשיפת הנתונים היו ממצאים נפרדים.
בדקו כיצד ההזמנה והתשלום מתנהגים כששער הסליקה אינו זמין. תעדו חלופת תשלום, התאמת עסקאות שמצבן אינו ברור ובדיקת עיבוד תקין לפני חזרה לפעילות רגילה.
גבולות הסקירה ורישום עריכתי
זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.
המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.
