אירועים נבחרים וספי תיקון
הסקירה מכסה את התקופה מ-2026-07-01 עד 2026-07-31. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.
למקרים שנבחרו הסקירה מאמתת חשיפה או מהדורת אבטחה ואת התנאים שנמסרו במקור. הסקירה אינה טוענת לניצול פעיל או למצב היסטורי ב-CISA KEV או EPSS. מידע חסר על ניצול נשאר לא ידוע.
| תאריך האירוע | מוצר והודעה | תיקונים לפי הענפים המתאימים |
|---|---|---|
| 2026-07-17 | WordPress | CVE-2026-63030 | 7.0.2 / 6.9.5 |
| 2026-07-15 | NGINX | CVE-2026-42533 | 1.31.3 / 1.30.4 |
| 2026-07-29 | Node.js | CVE-2026-56848 | 22.23.2 / 24.18.1 / 26.5.1 |
WordPress: נתיבי REST batch והזרקת SQL (CVE-2026-63030)
בלבול בנתיבי REST API batch יכול להשתלב בחולשת הזרקת SQL נפרדת ולהוביל להרצת קוד. מקרה בלבול הנתיבים משפיע על ענפים 6.9 ו-7.0 לפני התיקונים שצוינו. מהדורת הליבה של יולי מטפלת בשתי הבעיות; לענפים אחרים יש תנאי תחולה שונים.
אמתו את ענף הליבה ואת תיקון האבטחה עם האחראי. לאחר העדכון בדקו אינטגרציות REST, הרשאות עריכה ותהליכי חנות.
NGINX: ביטויי map עם קבוצות regex (CVE-2026-42533)
הוראות map מסוימות עם ביטויים רגולריים וחישוב משתני קבוצות עלולות לגרום לגלישת חוצץ בערימה. תהליך worker עלול לקרוס; הרצת קוד דורשת תנאים נוספים שקשורים ל-ASLR. הודעת יולי תלויה בתצורה מסוימת ואינה חלה על כל שימוש ב-map.
בקשו מהאחסון לבדוק ביטויי map ואת חבילת OSS או Plus המותקנת. לאחר התיקון בדקו הפניות, ניתוב והחלטות מטמון שתלויות במשתנים האלה.
Node.js: כניסה חוזרת לעיבוד HTTP/2 (CVE-2026-56848)
כניסה חוזרת לתהליך השליחה של HTTP/2 עלולה להשתמש בזיכרון שכבר שוחרר בענפי Node.js 22, 24 ו-26 המושפעים. מהדורות האבטחה יצאו ב-29 ביולי לאחר דחיות. בדקו את תאריך המהדורה בפועל ברישום הפריסה ולא תאריך מוקדם שתוכנן.
עדכנו את סביבת הריצה בתמונות שנפרסו ובתהליכים הפעילים. העבירו תעבורת HTTP/2 מבוקרת ובדקו יציבות תהליכים לאחר הפעלה מחדש.
דליפות ואירועי סייבר שדווחו החודש
המקרים האלה תוארו בהודעות פומביות במהלך יולי 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.
| ארגון | הודעה פומבית | אירוע |
|---|---|---|
| Coca-Cola / fairlife | 2026-07-16 | כופרה והשבתה |
| Origin Energy | 2026-07-23 | חשיפת מידע |
fairlife: כופרה עצרה את הייצור (2026-07-16)
בהודעת Coca-Cola מ-2026-07-16 נקשרה עצירה זמנית של ייצור fairlife בארה"ב לכופרה שפגעה גם במערכות ייצור. ב-27 ביולי דווח שרוב הייצור חזר לפעול ושמידע מסוים נלקח. ההודעות לא קבעו שהייתה דליפת סיסמאות של לקוחות.
תרגלו המשכיות מעבר לאתר הציבורי: קבלת הזמנות, מחסן וממשקי ייצור עשויים לחלוק תלויות. כללו בתוכנית השחזור הפעלה מבוקרת והתאמת פעולות שבוצעו בזמן ההשבתה.
Origin Energy: מידע אישי ופרטי תשלום חלקיים (2026-07-23)
ב-2026-07-23 אישרה Origin גישה וחשיפה לא מורשות של חלק מנתוני הלקוחות. הקטגוריות כללו פרטי קשר וחשבון וכן ספרות חלקיות של כרטיס או חשבון בנק. החברה מסרה שהפרטים החלקיים אינם מאפשרים רכישות או גישה לחשבונות.
בדקו אילו שדות לקוח נשמרים במערכות תמיכה וניתוח נתונים. הבחינו בין סוד תשלום מלא לבין מזהה חלקי והתאימו את ההנחיות לנפגעים למידע שבאמת נחשף.
גבולות הסקירה ורישום עריכתי
זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.
המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.
