אירועים נבחרים וספי תיקון
הסקירה מכסה את התקופה מ-2026-03-01 עד 2026-03-31. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.
למקרים שנבחרו הסקירה מאמתת חשיפה או מהדורת אבטחה ואת התנאים שנמסרו במקור. הסקירה אינה טוענת לניצול פעיל או למצב היסטורי ב-CISA KEV או EPSS. מידע חסר על ניצול נשאר לא ידוע.
| תאריך האירוע | מוצר והודעה | תיקונים לפי הענפים המתאימים |
|---|---|---|
| 2026-03-10 | WordPress | 6.9.2 |
| 2026-03-24 | Node.js | CVE-2026-21710 | 20.20.2 / 22.22.2 / 24.14.1 / 25.8.2 |
| 2026-03-11 | curl | CVE-2026-3783 | 8.19.0 / 8.16.1 / 8.14.2 |
WordPress: עדכון האבטחה של מרץ לליבה
WordPress 6.9.2 מתקן בעיות נפרדות, ובהן blind SSRF, XSS שמור, ליקויי הרשאה וחריגה מנתיב בטיפול בארכיון. המהדורה תואמה גם עם תיקון בספריית getID3 החיצונית. לכל מקרה תנאים משלו; ההודעה אינה מתארת דרך תקיפה אחת שמתאימה לכל התקנה.
התקינו מהדורת ליבה נתמכת ועדכנית או ודאו שהותקן תיקון מתאים לענף. בדקו מדיה, הרשאות עריכה ומסלול פנייה בעותק האתר לפני עדכון האתר הפעיל.
Node.js: כותרות בקשה וזמינות (CVE-2026-21710)
בקשה עם שם הכותרת __proto__ עלולה להפיל שרת HTTP של Node.js כאשר קוד היישום קורא את req.headersDistinct. החריגה נוצרת בעת קריאת המאפיין. מהדורת האבטחה של מרץ מתקנת את הבעיה בענפים 20, 22, 24 ו-25 שהיו פעילים אז.
בדקו שימוש ב-req.headersDistinct ביישום ובשכבות הביניים. עדכנו את סביבת הריצה ובדקו טיפול בשגיאות API וניטור באמצעות בקשות מבוקרות, בלי לנסות להפיל את סביבת הייצור.
curl: הפניות, netrc ואסימוני bearer (CVE-2026-3783)
אסימון bearer עלול להגיע לשם מארח אחר לאחר הפניה, כאשר היעד מתאים לרשומת אישורים בקובץ netrc, לרבות רשומת default. הבדיקה נוגעת ללקוחות שמשלבים את התכונות האלה. התיקון של מרץ מטפל במקרה נפרד מהפניית הפרוטוקול שתוארה בינואר.
מפו שימוש ב-netrc במשימות מתוזמנות ובאינטגרציות פריסה. הגדירו יעדי הפניה מורשים, עדכנו את הספרייה ובדקו שבקשות מורשות מגיעות רק לנקודת הקצה המתוכננת.
דליפות ואירועי סייבר שדווחו החודש
המקרים האלה תוארו בהודעות פומביות במהלך מרץ 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.
| ארגון | הודעה פומבית | אירוע |
|---|---|---|
| Loblaw | 2026-03-10 | חשיפת מידע |
| Stryker | 2026-03-11 | שיבוש תפעולי |
Loblaw: פרטי קשר ואיפוס סשנים של לקוחות (2026-03-10)
ב-2026-03-10 דיווחה Loblaw על גישה לא מורשית לשמות לקוחות, מספרי טלפון וכתובות דוא"ל. החברה ניתקה סשנים של לקוחות כחלק מהתגובה; הבדיקה הראשונית לא הצביעה על פגיעה בסיסמאות, במידע רפואי או בנתוני כרטיסי אשראי.
הכינו דרך מבוקרת לבטל סשנים של לקוחות בזמן אירוע. הסבירו את הצורך בהתחברות מחדש ובדקו אם ניתן להשתמש בפרטי קשר שנחשפו לצורך התחזות בתהליך שחזור גישה או מול התמיכה.
Stryker: שיבוש בסביבת Microsoft הארגונית (2026-03-11)
בדיווח מ-2026-03-11 תיארה Stryker אירוע סייבר ששיבש את סביבת Microsoft שלה ברחבי העולם והגביל גישה ליישומים עסקיים. היקף האירוע והשלכותיו עדיין נבדקו; הדיווח לא קבע כמות מסוימת של מידע שנגנב.
מפו תהליכים התלויים באותה סביבת זהויות ושיתוף פעולה. תרגלו אמצעי תקשורת וקבלת הזמנות עצמאיים, ובדקו כיצד מאמתים גישה ששוחזרה כשהסביבה המרכזית אינה זמינה.
גבולות הסקירה ורישום עריכתי
זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.
המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.
