אירועים נבחרים וספי תיקון
הסקירה מכסה את התקופה מ-2026-05-01 עד 2026-05-31. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.
למקרים שנבחרו הסקירה מאמתת חשיפה או מהדורת אבטחה ואת התנאים שנמסרו במקור. הסקירה אינה טוענת לניצול פעיל או למצב היסטורי ב-CISA KEV או EPSS. מידע חסר על ניצול נשאר לא ידוע.
| תאריך האירוע | מוצר והודעה | תיקונים לפי הענפים המתאימים |
|---|---|---|
| 2026-05-04 | Apache HTTP Server | CVE-2026-23918 | 2.4.67 |
| 2026-05-13 | NGINX | CVE-2026-42945 / CVE-2026-9256 | 1.31.0 / 1.30.1 / 1.31.1 / 1.30.2 |
| 2026-05-04 | Apache HTTP Server | CVE-2026-33006 | 2.4.67 |
Apache: שחרור כפול ב-HTTP/2 של 2.4.66 (CVE-2026-23918)
Apache מתארת חולשת שחרור כפול עם אפשרות להרצת קוד במימוש HTTP/2 של גרסה 2.4.66. התיקון נכלל ב-2.4.67. ההודעה מציינת גרסה מסוימת, ולכן צריך לבדוק את החבילה המותקנת לפני שיוך המשימה.
זהו את חבילת httpd ואת מודול HTTP/2 בכל סביבת אחסון. תאמו עדכון וטעינה מחדש, ואז בדקו מארחים וירטואליים, תעודות ותעבורת יישום.
NGINX: שני תיקוני rewrite במהלך מאי (CVE-2026-42945 / CVE-2026-9256)
במאי נחשפו שתי גלישות חוצץ נפרדות במודול rewrite. הן תלויות בקבוצות מסוימות בביטוי רגולרי ובשילובי הוראות. תיתכן קריסה; הרצת קוד דורשת תנאים נוספים שקשורים ל-ASLR. ההודעה מ-22 במאי דורשת תיקונים חדשים יותר מהמקרה של 13 במאי.
ספי OSS עבור CVE-2026-42945 הם 1.31.0 / 1.30.1; עבור CVE-2026-9256 הם 1.31.1 / 1.30.2. בדקו את שתי ההודעות, לרבות מיפוי חבילות Plus, ובדקו הפניות עם אחראי היישום.
Apache: עקיפת אימות Digest (CVE-2026-33006)
מתקפת תזמון נגד mod_auth_digest יכולה לעקוף אימות Digest. Apache מציינת גרסאות עד 2.4.66 כולל וממליצה על 2.4.67. הבדיקה נוגעת לאזורים שמוגנים במודול Apache הזה, בנפרד ממנגנון הכניסה של היישום עצמו.
מפו תיקיות ומארחים וירטואליים שמשתמשים ב-mod_auth_digest. התקינו חבילה מתוקנת ונתמכת ולאחר הטעינה מחדש בדקו שדפים מוגנים דוחים גישה ללא אימות.
דליפות ואירועי סייבר שדווחו החודש
המקרים האלה תוארו בהודעות פומביות במהלך מאי 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.
| ארגון | הודעה פומבית | אירוע |
|---|---|---|
| Instructure / Canvas | 2026-05-08 | חשיפת מידע |
| Carnival Corporation | 2026-05-27 | חשיפת מידע |
Canvas: חשיפת נתוני משתמשים והפרעה ללימודים (2026-05-08)
בהודעה מ-2026-05-08 מנתה Instructure שמות משתמשים, כתובות דוא"ל, פרטי קורסים והרשמה והודעות שנפגעו. לדבריה, נתוני הלמידה המרכזיים ופרטי ההתחברות לא נפגעו. ציר הזמן שלה מציין גילוי ב-29 באפריל ומתקפה נוספת ב-7 במאי.
בשירות SaaS חיוני לעסק, הגדירו מי מקבל הודעות על אירועים וכיצד ממשיכים לעבוד בזמן השבתה. נהלו רשימת אינטגרציות וגישות ניהול שיידרשו לבדיקה כאשר ספק מדווח על דליפה.
Carnival: חשבון עובד ומידע אישי (2026-05-27)
ב-2026-05-27 הודיעה Carnival על משלוח הודעות לנפגעי אירוע מאפריל. לדבריה, הנדסה חברתית אפשרה גישה דרך חשבון עובד; הפעילות התגלתה ב-2026-04-14 ונמצא שמידע אישי מסוים נחשף ללא הרשאה. חודש האירוע וחודש ההודעה הפומבית שונים.
בדקו כיצד מאמתים זהות בשחזור גישת עובדים ובפניות לתמיכה. הגבילו גישה לרשומות לקוחות לפי תפקיד והכינו דרך לזהות נפגעים באמצעות יומנים, בלי להסתמך על מספר רשומות לא מאומת שמסר התוקף.
גבולות הסקירה ורישום עריכתי
זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.
המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.
