[{"data":1,"prerenderedAt":223},["ShallowReactive",2],{"publication:he:D202606":3},{"meta":4,"copy":18,"relatedArticles":178,"terms":215,"term":216,"resourceParent":217,"glossaryParent":220},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":16,"preparedOn":17},"D202606","\u002Fblog\u002Fvulnerability-digest-2026-06","article","דיגסט חולשות לאתרים: יוני 2026","סקירת סייבר ליוני 2026","יוני 2026: חולשות, פריצות ודליפות מידע","סקירת סייבר ליוני 2026: חולשות תוכנה, אירועים הקשורים ל-Novo Nordisk ול-LastPass \u002F Klue, מקורות ובדיקות מעשיות לעסק.",[13,14,15],"\u002Fblog","\u002Fblog\u002Fvulnerability-digest-2026-05","\u002Fblog\u002Fvulnerability-digest-2026-07","2026-07-03","2026-11-06",{"intro":19,"sections":20,"checklistTitle":136,"checklist":137,"faq":140,"sources":150,"links":160,"cta":173},"הבחירה של יוני כוללת מיצוי זיכרון ב-Apache, בדיקת שמות TLS ב-Node.js, לקוחות OCSP של OpenSSL ואימות Digest ב-curl. מסלולים מסוימים מקבלים בקשות ציבוריות ואחרים פועלים כשהאתר פונה לשירות אחר. מיפוי העדכונים צריך לכלול חיבורים נכנסים ויוצאים. הגיליון בוחן גם אירועים הקשורים ל-Novo Nordisk ול-LastPass \u002F Klue, את ההשלכות שדווחו ואת הבדיקות המתאימות לעסק המשתמש בשירותים דומים.",[21,49,61,73,82,94,113,122,131],{"title":22,"paragraphs":23,"table":26},"אירועים נבחרים וספי תיקון",[24,25],"הסקירה מכסה את התקופה מ-2026-06-01 עד 2026-06-30. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.","למקרים שנבחרו הסקירה מאמתת חשיפה או מהדורת אבטחה ואת התנאים שנמסרו במקור. הסקירה אינה טוענת לניצול פעיל או למצב היסטורי ב-CISA KEV או EPSS. מידע חסר על ניצול נשאר לא ידוע.",{"caption":27,"headers":28,"rows":32},"חשיפות ומהדורות אבטחה נבחרות: יוני 2026",[29,30,31],"תאריך האירוע","מוצר והודעה","תיקונים לפי הענפים המתאימים",[33,37,41,45],[34,35,36],"2026-06-08","Apache HTTP Server | CVE-2026-49975","2.4.68",[38,39,40],"2026-06-18","Node.js | CVE-2026-48618","22.23.0 \u002F 24.17.0 \u002F 26.3.1",[42,43,44],"2026-06-09","OpenSSL | CVE-2026-35188","4.0.1 \u002F 3.6.3",[46,47,48],"2026-06-24","curl | CVE-2026-11856","8.21.0 \u002F 8.20.1 \u002F 8.16.1 \u002F 8.14.2",{"title":50,"paragraphs":51,"sources":54},"Apache: מיצוי זיכרון ב-HTTP\u002F2 (CVE-2026-49975)",[52,53],"בקשות HTTP זדוניות עלולות לגרום להקצאת זיכרון מופרזת ולמניעת שירות ב-mod_http2. Apache מציינת שהגרסאות מ-2.4.17 עד 2.4.67 מושפעות; התיקון נכלל במהדורת יוני 2.4.68. זהו מקרה HTTP\u002F2 נפרד מהשחרור הכפול של מאי.","בדקו אילו נקודות קצה ציבוריות משתמשות ב-mod_http2 ומי אחראי לעדכון. לאחר התקנת החבילה וטעינת התהליכים מחדש תעדו בדיקות זיכרון וזמינות.",[55,58],{"label":56,"url":57},"CVE-2026-49975 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-49975",{"label":59,"url":60},"Apache HTTP Server security fixes","https:\u002F\u002Fhttpd.apache.org\u002Fsecurity\u002Fvulnerabilities_24.html",{"title":62,"paragraphs":63,"sources":66},"Node.js: נרמול שם מארח ב-TLS (CVE-2026-48618)",[64,65],"טיפול שונה במפרידי נקודות Unicode במפענח הכתובות ובמאמת התעודה עלול לעקוף בדיקת עומק של wildcard. מהדורת יוני של Node.js מתקנת את הבעיה בענפים 22, 24 ו-26. בדקו בקשות TLS יוצאות שבהן מידע לא מהימן יכול להשפיע על שם המארח.","בדקו אימות כתובות URL וסביבות ריצה של webhook, fetch ואינטגרציות. לאחר העדכון בדקו יעדים מורשים וכשלי תעודה מול שירות בדיקה מבוקר.",[67,70],{"label":68,"url":69},"june 2026 security releases","https:\u002F\u002Fnodejs.org\u002Fen\u002Fblog\u002Fvulnerability\u002Fjune-2026-security-releases",{"label":71,"url":72},"CVE-2026-48618 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-48618",{"title":74,"paragraphs":75,"sources":78},"OpenSSL: בדיקת OCSP stapling בלקוח TLS (CVE-2026-35188)",[76,77],"שרת TLS זדוני עלול לגרום לשחרור כפול בלקוח שבודק תשובות OCSP מצורפות. הדבר יכול לפגוע בזיכרון ולגרום לקריסה; הרצת קוד מתוארת כאפשרית ותלויה בסביבה. במסלול המושפע OCSP stapling אינו מופעל כברירת מחדל.","בדקו לקוחות יוצאים עם OpenSSL 4.0 או 3.6 והגדרת האימות הזאת. התקינו חבילה מתאימה לענף ובדקו קבלה ודחייה של תעודות לאחר הפעלה מחדש.",[79],{"label":80,"url":81},"CVE-2026-35188 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-35188",{"title":83,"paragraphs":84,"sources":87},"curl: הרשאת Digest בין מקורות (CVE-2026-11856)",[85,86],"לאחר בקשה עם אימות Digest, החלפת מקור תוך שימוש חוזר באותו handle של libcurl עלולה לשלוח את כותרת Authorization המקורית למארח אחר. הודעת היצרן ליוותה את מהדורת יוני; רשומת CNA הופיעה ביולי. מופיעים גם תיקונים לענפי תחזוקה מסוימים.","אתרו לקוחות אינטגרציה שמחליפים מקור באותו handle. לאחר העדכון בדקו הפרדת אישורים ובחנו לוגים אם נוצר קשר מורשה עם יעד לא צפוי.",[88,91],{"label":89,"url":90},"curl advisory CVE-2026-11856","https:\u002F\u002Fcurl.se\u002Fdocs\u002FCVE-2026-11856.html",{"label":92,"url":93},"CVE-2026-11856 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-11856",{"title":95,"paragraphs":96,"table":98},"דליפות ואירועי סייבר שדווחו החודש",[97],"המקרים האלה תוארו בהודעות פומביות במהלך יוני 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.",{"caption":99,"headers":100,"rows":104},"הודעות על אירועים: יוני 2026",[101,102,103],"ארגון","הודעה פומבית","אירוע",[105,109],[106,107,108],"Novo Nordisk","2026-06-11","חשיפת מידע",[110,111,112],"LastPass \u002F Klue","2026-06-22","אירוע אצל ספק",{"title":114,"paragraphs":115,"sources":118},"Novo Nordisk: העתקת מידע ממערכות פנימיות (2026-06-11)",[116,117],"ב-2026-06-11 דיווחה Novo Nordisk על גישה לא מורשית למספר מוגבל של מערכות IT פנימיות ועל העתקת מידע לא פומבי, לרבות מידע אישי, אל מחוץ לחברה. חלק מהמערכות הושבתו זמנית. הבדיקה נמשכה וההודעה לא קבעה את מלוא מספר הנפגעים.","בדקו אפשרות לייצוא מידע גם כאשר רק מערכות מעטות נפגעו. מפו יצוא של מידע רגיש ויומני גישה, וקבעו אילו ראיות נדרשות לפני חיבור מערכות מבודדות בחזרה לרשת.",[119],{"label":120,"url":121},"Novo Nordisk \u002F GlobeNewswire: הודעה על האירוע","https:\u002F\u002Fwww.globenewswire.com\u002Fnews-release\u002F2026\u002F06\u002F11\u002F3310660\u002F0\u002Fen\u002FNovo-Nordisk-A-S-IT-Security-incident-at-Novo-Nordisk.html",{"title":123,"paragraphs":124,"sources":127},"LastPass ו-Klue: גישה ל-CRM דרך אסימוני ספק (2026-06-22)",[125,126],"בהודעה מ-2026-06-22 מסרה LastPass שתוקף השיג אסימוני OAuth שהוחזקו ב-Klue והשתמש בהם לגישה לנתוני CRM ב-Salesforce. לפי LastPass, מוצריה, התשתית וכספות הסיסמאות של הלקוחות לא נפגעו. החברה למדה על אירוע הספק ב-12 ביוני.","מפו חיבורי OAuth הרשאים לקרוא רשומות CRM. בדקו את היקף ההרשאות ואת האפשרות לבטל במהירות חיבור של ספק; ביטול כניסה אינטראקטיבית של משתמש עשוי להשאיר אסימון אינטגרציה פעיל.",[128],{"label":129,"url":130},"LastPass: הודעה על האירוע","https:\u002F\u002Fblog.lastpass.com\u002Fposts\u002Fklue-supply-chain-incident-and-lastpass-response",{"title":132,"paragraphs":133},"גבולות הסקירה ורישום עריכתי",[134,135],"זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.","המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.","בדיקות להעברה לאחראי התחזוקה",[53,65,77,86,138,139],"תעדו את החבילה או התמונה המותקנת, את התנאי הרלוונטי ואת האחראי לשינוי.","תאמו גיבוי, הפעלה מחדש וחזרה לאחור, ואז בדקו פניות, כניסה ואינטגרציות מושפעות עם נתונים מבוקרים.",[141,144,147],{"question":142,"answer":143},"האם להתקין את הגרסה הישנה שמופיעה בטבלה?","המספרים מזהים את התיקון ההיסטורי לכל ענף. בחרו מהדורה שנתמכת במועד ההתקנה או חבילת הפצה עם תיקון מאומת. תעדו את מהדורת החבילה שהותקנה בפועל.",{"question":145,"answer":146},"האם עדכון מוכיח שהאתר לא נפרץ?","עדכון סוגר את המסלול בתוכנה המושפעת. שינויים חשודים בלוגים, בחשבונות או בקבצים דורשים חקירה נפרדת ובדיקת שחזור. התקנה מוצלחת כשלעצמה אינה משלימה טיפול באירוע.",{"question":148,"answer":149},"מדוע תאריך המתקפה עשוי להיות שונה מחודש הסקירה?","ההודעות בחלק זה מקובצות לפי חודש הפרסום הפומבי. תאריך גילוי מוקדם יותר מצוין בנפרד אם המקור מספק אותו. חקירה מאוחרת או פרסום חוזר של מאגר ישן אינם מוצגים כמתקפה חדשה.",[151,152,153,154,155,156,157,158,159],{"label":56,"url":57},{"label":59,"url":60},{"label":68,"url":69},{"label":71,"url":72},{"label":80,"url":81},{"label":89,"url":90},{"label":92,"url":93},{"label":120,"url":121},{"label":129,"url":130},[161,163,165,168,171],{"path":14,"label":162},"הגיליון הקודם: מאי 2026",{"path":15,"label":164},"הגיליון הבא: יולי 2026",{"path":166,"label":167},"\u002Fblog\u002Fvulnerability-prioritization","איך לתעדף טיפול בחולשות",{"path":169,"label":170},"\u002Fservices\u002Fsecurity-audit","תיאום בדיקת אבטחה לאתר",{"path":13,"label":172},"כל המאמרים",{"title":174,"description":175,"button":176,"type":177},"נבדוק אילו עדכונים נוגעים לאתר שלכם","שלחו את כתובת האתר ואת פרטי האחסון או היישום הידועים לכם. נתאם תחולה, היקף תחזוקה ובדיקות לאחר השינוי.","תיאום היקף העדכונים","check",[179,191,200,208],{"id":180,"path":14,"title":181,"description":182,"category":183,"artwork":184,"order":185,"publishedOn":186,"period":187,"related":188},"D202605","סקירת סייבר למאי 2026","סקירת סייבר למאי 2026: חולשות תוכנה, אירועים הקשורים ל-Instructure \u002F Canvas ול-Carnival Corporation, מקורות ובדיקות מעשיות לעסק.","digest","vulnerability-digest",6,"2026-06-03","2026-05",[189,6,166,190],"\u002Fblog\u002Fvulnerability-digest-2026-04","\u002Fblog\u002Fwhy-website-updates-matter",{"id":192,"path":15,"title":193,"description":194,"category":183,"artwork":184,"order":195,"publishedOn":196,"period":197,"related":198},"D202607","סקירת סייבר ליולי 2026","סקירת סייבר ליולי 2026: חולשות תוכנה, אירועים הקשורים ל-Coca-Cola \u002F fairlife ול-Origin Energy, מקורות ובדיקות מעשיות לעסק.",4,"2026-08-03","2026-07",[6,199,166,190],"\u002Fblog\u002Fvulnerability-digest-2026-08",{"id":201,"path":166,"title":202,"description":203,"category":204,"artwork":205,"order":206,"publishedOn":207},"P083","איך מתעדפים חולשות CVE בעסק ומה מתקנים קודם","תעדוף חולשות באתר ובתשתיות: התאמה למוצר ולגרסה, ניצול מוכר, CVSS, EPSS, חשיפה והשפעה עסקית. טבלת החלטה ובדיקות סיום לכל תיקון.","operations","security",82,"2026-10-22",{"id":209,"path":190,"title":210,"description":211,"category":212,"artwork":212,"order":213,"publishedOn":214},"updates","עדכון אתר וורדפרס: מה בודקים לפני ואחרי","עדכון אתר וורדפרס כולל הכנת גיבוי, בדיקת תאימות ובדיקות תפקוד לאחר השינוי. המטרה היא לשמור על תוכנה נתמכת ולזהות תקלות בזמן. המדריך מתאים לבעלי אתרים שרוצים להבין את התהליך לפני ביצוע או הזמנת תחזוקה.","websites",107,"2026-04-21",[],null,{"path":218,"label":219},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":221,"label":222},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794139133692]