[{"data":1,"prerenderedAt":198},["ShallowReactive",2],{"publication:he:D202605":3},{"meta":4,"copy":18,"relatedArticles":153,"terms":190,"term":191,"resourceParent":192,"glossaryParent":195},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":16,"preparedOn":17},"D202605","\u002Fblog\u002Fvulnerability-digest-2026-05","article","דיגסט חולשות לאתרים: מאי 2026","סקירת סייבר למאי 2026","מאי 2026: חולשות, פריצות ודליפות מידע","סקירת סייבר למאי 2026: חולשות תוכנה, אירועים הקשורים ל-Instructure \u002F Canvas ול-Carnival Corporation, מקורות ובדיקות מעשיות לעסק.",[13,14,15],"\u002Fblog","\u002Fblog\u002Fvulnerability-digest-2026-04","\u002Fblog\u002Fvulnerability-digest-2026-06","2026-06-03","2026-11-06",{"intro":19,"sections":20,"checklistTitle":114,"checklist":115,"faq":118,"sources":128,"links":135,"cta":148},"סקירת מאי מתמקדת בתצורת שרתי אתרים: HTTP\u002F2 של Apache, שתי הודעות rewrite של NGINX ואימות Digest של Apache. ל-NGINX נדרש תיקון נוסף בהמשך אותו חודש. לפני סגירת משימת התחזוקה השוו את החבילה המותקנת לכל ההודעות הרלוונטיות. הגיליון בוחן גם אירועים הקשורים ל-Instructure \u002F Canvas ול-Carnival Corporation, את ההשלכות שדווחו ואת הבדיקות המתאימות לעסק המשתמש בשירותים דומים.",[21,43,52,64,73,91,100,109],{"title":22,"paragraphs":23,"table":26},"אירועים נבחרים וספי תיקון",[24,25],"הסקירה מכסה את התקופה מ-2026-05-01 עד 2026-05-31. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.","למקרים שנבחרו הסקירה מאמתת חשיפה או מהדורת אבטחה ואת התנאים שנמסרו במקור. הסקירה אינה טוענת לניצול פעיל או למצב היסטורי ב-CISA KEV או EPSS. מידע חסר על ניצול נשאר לא ידוע.",{"caption":27,"headers":28,"rows":32},"חשיפות ומהדורות אבטחה נבחרות: מאי 2026",[29,30,31],"תאריך האירוע","מוצר והודעה","תיקונים לפי הענפים המתאימים",[33,37,41],[34,35,36],"2026-05-04","Apache HTTP Server | CVE-2026-23918","2.4.67",[38,39,40],"2026-05-13","NGINX | CVE-2026-42945 \u002F CVE-2026-9256","1.31.0 \u002F 1.30.1 \u002F 1.31.1 \u002F 1.30.2",[34,42,36],"Apache HTTP Server | CVE-2026-33006",{"title":44,"paragraphs":45,"sources":48},"Apache: שחרור כפול ב-HTTP\u002F2 של 2.4.66 (CVE-2026-23918)",[46,47],"Apache מתארת חולשת שחרור כפול עם אפשרות להרצת קוד במימוש HTTP\u002F2 של גרסה 2.4.66. התיקון נכלל ב-2.4.67. ההודעה מציינת גרסה מסוימת, ולכן צריך לבדוק את החבילה המותקנת לפני שיוך המשימה.","זהו את חבילת httpd ואת מודול HTTP\u002F2 בכל סביבת אחסון. תאמו עדכון וטעינה מחדש, ואז בדקו מארחים וירטואליים, תעודות ותעבורת יישום.",[49],{"label":50,"url":51},"CVE-2026-23918 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-23918",{"title":53,"paragraphs":54,"sources":57},"NGINX: שני תיקוני rewrite במהלך מאי (CVE-2026-42945 \u002F CVE-2026-9256)",[55,56],"במאי נחשפו שתי גלישות חוצץ נפרדות במודול rewrite. הן תלויות בקבוצות מסוימות בביטוי רגולרי ובשילובי הוראות. תיתכן קריסה; הרצת קוד דורשת תנאים נוספים שקשורים ל-ASLR. ההודעה מ-22 במאי דורשת תיקונים חדשים יותר מהמקרה של 13 במאי.","ספי OSS עבור CVE-2026-42945 הם 1.31.0 \u002F 1.30.1; עבור CVE-2026-9256 הם 1.31.1 \u002F 1.30.2. בדקו את שתי ההודעות, לרבות מיפוי חבילות Plus, ובדקו הפניות עם אחראי היישום.",[58,61],{"label":59,"url":60},"CVE-2026-42945 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-42945",{"label":62,"url":63},"CVE-2026-9256 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-9256",{"title":65,"paragraphs":66,"sources":69},"Apache: עקיפת אימות Digest (CVE-2026-33006)",[67,68],"מתקפת תזמון נגד mod_auth_digest יכולה לעקוף אימות Digest. Apache מציינת גרסאות עד 2.4.66 כולל וממליצה על 2.4.67. הבדיקה נוגעת לאזורים שמוגנים במודול Apache הזה, בנפרד ממנגנון הכניסה של היישום עצמו.","מפו תיקיות ומארחים וירטואליים שמשתמשים ב-mod_auth_digest. התקינו חבילה מתוקנת ונתמכת ולאחר הטעינה מחדש בדקו שדפים מוגנים דוחים גישה ללא אימות.",[70],{"label":71,"url":72},"CVE-2026-33006 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-33006",{"title":74,"paragraphs":75,"table":77},"דליפות ואירועי סייבר שדווחו החודש",[76],"המקרים האלה תוארו בהודעות פומביות במהלך מאי 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.",{"caption":78,"headers":79,"rows":83},"הודעות על אירועים: מאי 2026",[80,81,82],"ארגון","הודעה פומבית","אירוע",[84,88],[85,86,87],"Instructure \u002F Canvas","2026-05-08","חשיפת מידע",[89,90,87],"Carnival Corporation","2026-05-27",{"title":92,"paragraphs":93,"sources":96},"Canvas: חשיפת נתוני משתמשים והפרעה ללימודים (2026-05-08)",[94,95],"בהודעה מ-2026-05-08 מנתה Instructure שמות משתמשים, כתובות דוא\"ל, פרטי קורסים והרשמה והודעות שנפגעו. לדבריה, נתוני הלמידה המרכזיים ופרטי ההתחברות לא נפגעו. ציר הזמן שלה מציין גילוי ב-29 באפריל ומתקפה נוספת ב-7 במאי.","בשירות SaaS חיוני לעסק, הגדירו מי מקבל הודעות על אירועים וכיצד ממשיכים לעבוד בזמן השבתה. נהלו רשימת אינטגרציות וגישות ניהול שיידרשו לבדיקה כאשר ספק מדווח על דליפה.",[97],{"label":98,"url":99},"Instructure: הודעה על האירוע","https:\u002F\u002Fwww.instructure.com\u002Fincident_update",{"title":101,"paragraphs":102,"sources":105},"Carnival: חשבון עובד ומידע אישי (2026-05-27)",[103,104],"ב-2026-05-27 הודיעה Carnival על משלוח הודעות לנפגעי אירוע מאפריל. לדבריה, הנדסה חברתית אפשרה גישה דרך חשבון עובד; הפעילות התגלתה ב-2026-04-14 ונמצא שמידע אישי מסוים נחשף ללא הרשאה. חודש האירוע וחודש ההודעה הפומבית שונים.","בדקו כיצד מאמתים זהות בשחזור גישת עובדים ובפניות לתמיכה. הגבילו גישה לרשומות לקוחות לפי תפקיד והכינו דרך לזהות נפגעים באמצעות יומנים, בלי להסתמך על מספר רשומות לא מאומת שמסר התוקף.",[106],{"label":107,"url":108},"Carnival Corporation \u002F PR Newswire: הודעה על האירוע","https:\u002F\u002Fwww.prnewswire.com\u002Fnews-releases\u002Fcarnival-corporation-notice-of-data-breach-302783524.html",{"title":110,"paragraphs":111},"גבולות הסקירה ורישום עריכתי",[112,113],"זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.","המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.","בדיקות להעברה לאחראי התחזוקה",[47,56,68,116,117],"תעדו את החבילה או התמונה המותקנת, את התנאי הרלוונטי ואת האחראי לשינוי.","תאמו גיבוי, הפעלה מחדש וחזרה לאחור, ואז בדקו פניות, כניסה ואינטגרציות מושפעות עם נתונים מבוקרים.",[119,122,125],{"question":120,"answer":121},"האם להתקין את הגרסה הישנה שמופיעה בטבלה?","המספרים מזהים את התיקון ההיסטורי לכל ענף. בחרו מהדורה שנתמכת במועד ההתקנה או חבילת הפצה עם תיקון מאומת. תעדו את מהדורת החבילה שהותקנה בפועל.",{"question":123,"answer":124},"האם עדכון מוכיח שהאתר לא נפרץ?","עדכון סוגר את המסלול בתוכנה המושפעת. שינויים חשודים בלוגים, בחשבונות או בקבצים דורשים חקירה נפרדת ובדיקת שחזור. התקנה מוצלחת כשלעצמה אינה משלימה טיפול באירוע.",{"question":126,"answer":127},"מדוע תאריך המתקפה עשוי להיות שונה מחודש הסקירה?","ההודעות בחלק זה מקובצות לפי חודש הפרסום הפומבי. תאריך גילוי מוקדם יותר מצוין בנפרד אם המקור מספק אותו. חקירה מאוחרת או פרסום חוזר של מאגר ישן אינם מוצגים כמתקפה חדשה.",[129,130,131,132,133,134],{"label":50,"url":51},{"label":59,"url":60},{"label":62,"url":63},{"label":71,"url":72},{"label":98,"url":99},{"label":107,"url":108},[136,138,140,143,146],{"path":14,"label":137},"הגיליון הקודם: אפריל 2026",{"path":15,"label":139},"הגיליון הבא: יוני 2026",{"path":141,"label":142},"\u002Fblog\u002Fvulnerability-prioritization","איך לתעדף טיפול בחולשות",{"path":144,"label":145},"\u002Fservices\u002Fsecurity-audit","תיאום בדיקת אבטחה לאתר",{"path":13,"label":147},"כל המאמרים",{"title":149,"description":150,"button":151,"type":152},"נבדוק אילו עדכונים נוגעים לאתר שלכם","שלחו את כתובת האתר ואת פרטי האחסון או היישום הידועים לכם. נתאם תחולה, היקף תחזוקה ובדיקות לאחר השינוי.","תיאום היקף העדכונים","check",[154,166,175,183],{"id":155,"path":14,"title":156,"description":157,"category":158,"artwork":159,"order":160,"publishedOn":161,"period":162,"related":163},"D202604","סקירת סייבר לאפריל 2026","סקירת סייבר לאפריל 2026: חולשות תוכנה, אירועים הקשורים ל-Vercel ול-Hasbro, מקורות ובדיקות מעשיות לעסק.","digest","vulnerability-digest",7,"2026-05-03","2026-04",[164,6,141,165],"\u002Fblog\u002Fvulnerability-digest-2026-03","\u002Fblog\u002Fwhy-website-updates-matter",{"id":167,"path":15,"title":168,"description":169,"category":158,"artwork":159,"order":170,"publishedOn":171,"period":172,"related":173},"D202606","סקירת סייבר ליוני 2026","סקירת סייבר ליוני 2026: חולשות תוכנה, אירועים הקשורים ל-Novo Nordisk ול-LastPass \u002F Klue, מקורות ובדיקות מעשיות לעסק.",5,"2026-07-03","2026-06",[6,174,141,165],"\u002Fblog\u002Fvulnerability-digest-2026-07",{"id":176,"path":141,"title":177,"description":178,"category":179,"artwork":180,"order":181,"publishedOn":182},"P083","איך מתעדפים חולשות CVE בעסק ומה מתקנים קודם","תעדוף חולשות באתר ובתשתיות: התאמה למוצר ולגרסה, ניצול מוכר, CVSS, EPSS, חשיפה והשפעה עסקית. טבלת החלטה ובדיקות סיום לכל תיקון.","operations","security",82,"2026-10-22",{"id":184,"path":165,"title":185,"description":186,"category":187,"artwork":187,"order":188,"publishedOn":189},"updates","עדכון אתר וורדפרס: מה בודקים לפני ואחרי","עדכון אתר וורדפרס כולל הכנת גיבוי, בדיקת תאימות ובדיקות תפקוד לאחר השינוי. המטרה היא לשמור על תוכנה נתמכת ולזהות תקלות בזמן. המדריך מתאים לבעלי אתרים שרוצים להבין את התהליך לפני ביצוע או הזמנת תחזוקה.","websites",107,"2026-04-21",[],null,{"path":193,"label":194},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":196,"label":197},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794138528963]