[{"data":1,"prerenderedAt":222},["ShallowReactive",2],{"publication:he:D202609":3},{"meta":4,"copy":18,"relatedArticles":177,"terms":214,"term":215,"resourceParent":216,"glossaryParent":219},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":16,"preparedOn":17},"D202609","\u002Fblog\u002Fvulnerability-digest-2026-09","article","דיגסט חולשות לאתרים: ספטמבר 2026","סקירת סייבר לספטמבר 2026","ספטמבר 2026: חולשות, פריצות ודליפות מידע","סקירת סייבר לספטמבר 2026: חולשות תוכנה, אירועים הקשורים ל-Gyazo \u002F Helpfeel ול-Elekta, מקורות ובדיקות מעשיות לעסק.",[13,14,15],"\u002Fblog","\u002Fblog\u002Fvulnerability-digest-2026-08","\u002Fblog\u002Fvulnerability-digest-2026-10","2026-10-03","2026-11-06",{"intro":19,"sections":20,"checklistTitle":135,"checklist":136,"faq":139,"sources":149,"links":159,"cta":172},"בספטמבר יצאו שתי מהדורות אבטחה של WordPress, תיקון מטמון תעודות ב-OpenSSL 4.0 ותיקון זהות חיבורים ב-curl. מהדורת WordPress שנייה הגיעה בהמשך אותו חודש. ודאו שהותקנו התיקונים המאוחרים הרלוונטיים ובדקו דפים ציבוריים ואינטגרציות מורשות. הגיליון בוחן גם אירועים הקשורים ל-Gyazo \u002F Helpfeel ול-Elekta, את ההשלכות שדווחו ואת הבדיקות המתאימות לעסק המשתמש בשירותים דומים.",[21,49,58,73,82,94,112,121,130],{"title":22,"paragraphs":23,"table":26},"אירועים נבחרים וספי תיקון",[24,25],"הסקירה מכסה את התקופה מ-2026-09-01 עד 2026-09-30. המקורות נבדקו ב-6 בנובמבר 2026. הטבלה מציינת ספי תיקון היסטוריים בענפים המתאימים. להתקנה בחרו מהדורה שנתמכת במועד העדכון או חבילת הפצה עם תיקון מאומת; סף תיקון ישן אינו המלצה להתקין ענף שכבר אינו נתמך.","למקרים שנבחרו הסקירה מאמתת חשיפה או מהדורת אבטחה ואת התנאים שנמסרו במקור. הסקירה אינה טוענת לניצול פעיל או למצב היסטורי ב-CISA KEV או EPSS. מידע חסר על ניצול נשאר לא ידוע.",{"caption":27,"headers":28,"rows":32},"חשיפות ומהדורות אבטחה נבחרות: ספטמבר 2026",[29,30,31],"תאריך האירוע","מוצר והודעה","תיקונים לפי הענפים המתאימים",[33,37,41,45],[34,35,36],"2026-09-17","WordPress","7.1.1",[38,39,40],"2026-09-22","WordPress | CVE-2026-87902","7.1.2",[42,43,44],"2026-09-29","OpenSSL | CVE-2026-84783","4.0.3",[46,47,48],"2026-09-02","curl | CVE-2026-19931","8.22.0 \u002F 8.20.1 \u002F 8.16.1 \u002F 8.14.2",{"title":50,"paragraphs":51,"sources":54},"WordPress: מהדורת אבטחה ותחזוקה 7.1.1",[52,53],"WordPress 7.1.1 כוללת אחד-עשר תיקוני אבטחה במסלולי הרשאה ו-XSS שמור, לרבות תגובות ותכונות עריכה. חלק מהמקרים תלויים בתפקיד של משתמש מחובר או באישור תגובה. לקבוצת התיקונים יש תנאי גישה שונים.","עדכנו למהדורה נתמכת ואמתו תיקון מתאים בענף ישן יותר. בדקו אישור תגובות, הרשאות תפקידים ופעולות עריכה עם חשבונות בדיקה.",[55],{"label":56,"url":57},"wordpress 7 1 1 maintenance and security release","https:\u002F\u002Fwordpress.org\u002Fnews\u002F2026\u002F09\u002Fwordpress-7-1-1-maintenance-and-security-release\u002F",{"title":59,"paragraphs":60,"sources":63},"WordPress: הכללת PHP מקומי בתנאים מסוימים (CVE-2026-87902)",[61,62],"בחירת תבנית עמוד עלולה לכלול קובץ PHP מקומי קריא מחוץ לתיקיות התבנית הפעילה. ההודעה דורשת תיקייה בתבנית שמתחילה ב-page- וקובץ יעד מתאים וקריא. הרצת קוד תלויה בנוסף בסביבת השרת; היצרן מציין את 7.1.2 ותיקונים לענפים נפרדים.","בקשו מהאחראי לבדוק את תבנית האב והבת הפעילות ואת תצורת השרת. עדכנו ליבה ובדקו בחירת תבניות ודפי נחיתה מרכזיים; תעדו את גרסת התיקון המדויקת לענף.",[64,67,70],{"label":65,"url":66},"wordpress 7 1 2 release","https:\u002F\u002Fwordpress.org\u002Fnews\u002F2026\u002F09\u002Fwordpress-7-1-2-release\u002F",{"label":68,"url":69},"CVE-2026-87902 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-87902",{"label":71,"url":72},"WordPress advisory GHSA-7hp8-65ch-5whp","https:\u002F\u002Fgithub.com\u002FWordPress\u002Fwordpress-develop\u002Fsecurity\u002Fadvisories\u002FGHSA-7hp8-65ch-5whp",{"title":74,"paragraphs":75,"sources":78},"OpenSSL: אתחול מקביל של מטמון תעודה (CVE-2026-84783)",[76,77],"OpenSSL 4.0 עלול לשחרר מטמון הרחבות X.509 בעוד שתהליכון אחר משתמש בו בבניות המקבילות הראשונות של שרשרת לאותו CA מהימן. לקוח TLS רב-תהליכוני או שרת שמאמת תעודות לקוח עלולים לקרוס. OpenSSL 3.x אינו מושפע מהמקרה הזה.","אתרו יישומים שמקושרים ל-OpenSSL 4.0 ובררו אם אובייקטי תעודה משותפים לתהליכונים. התקינו את החבילה המתוקנת ובדקו חיבורים מקבילים בסביבה מבוקרת.",[79],{"label":80,"url":81},"CVE-2026-84783 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-84783",{"title":83,"paragraphs":84,"sources":87},"curl: זהות Negotiate בחיבור משותף (CVE-2026-19931)",[85,86],"באימות Negotiate עם אישורים ריקים, libcurl עלול להשתמש בחיבור שכבר אומת עבור משתמש אחד כדי לשלוח בקשה של משתמש אחר. הודעת ספטמבר עוסקת בהפרדת זהויות בלקוחות משותפים. היצרן מציין 8.22.0 ותיקונים לענפי תחזוקה.","בדקו לקוחות משותפים שמשתמשים באישורי Negotiate של מערכת ההפעלה. לאחר העדכון בדקו שני חשבונות מבוקרים וודאו שהבקשות שומרות על זהויות נפרדות.",[88,91],{"label":89,"url":90},"curl advisory CVE-2026-19931","https:\u002F\u002Fcurl.se\u002Fdocs\u002FCVE-2026-19931.html",{"label":92,"url":93},"CVE-2026-19931 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-19931",{"title":95,"paragraphs":96,"table":98},"דליפות ואירועי סייבר שדווחו החודש",[97],"המקרים האלה תוארו בהודעות פומביות במהלך ספטמבר 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.",{"caption":99,"headers":100,"rows":104},"הודעות על אירועים: ספטמבר 2026",[101,102,103],"ארגון","הודעה פומבית","אירוע",[105,109],[106,107,108],"Gyazo \u002F Helpfeel","2026-09-16","חשיפת מידע",[110,111,108],"Elekta","2026-09-01",{"title":113,"paragraphs":114,"sources":117},"Gyazo: חדירה לשרת העלאות ומטא-נתונים של תמונות (2026-09-16)",[115,116],"בהודעה מ-2026-09-16 תיארה Helpfeel ניצול של שרת ההעלאות של Gyazo ב-11 בספטמבר וחשיפת מידע משתמשים ומטא-נתונים של תמונות. חלק מהמטא-נתונים עשוי לאפשר גישה לתמונות. החברה הבחינה בין רשומות לאנשים ודיווחה שלא נחשפו נתוני כרטיסי תשלום.","בדקו מה צילומי מסך וקישורי תמונות מגלים על המערכות שלכם. בטלו קישורי שיתוף שנחשפו כשאפשר, הוציאו סודות מצילומים ובדקו הרשאות העלאה ובידוד שרתים בנפרד מהאתר הראשי.",[118],{"label":119,"url":120},"Helpfeel: הודעה על האירוע","https:\u002F\u002Fcorp.helpfeel.com\u002Fen\u002Fnews\u002Fnews-20260916",{"title":122,"paragraphs":123,"sources":126},"Elekta: ייצוא פרטי קשר עסקיים (2026-09-01)",[124,125],"ב-2026-09-01 אישרה Elekta גישה והוצאת מידע לא מורשות מחלק מסביבת ה-IT שלה. הערכת החברה הצביעה בעיקר על פרטי קשר עסקיים של לקוחות, ובהם שמות וכתובות דוא\"ל בעבודה. ההודעה לא קבעה שנחשפו רשומות טיפול של מטופלים.","כללו פרטי קשר של לקוחות בבדיקת הרשאות גם אם חלקם זמינים במקומות אחרים. הגדירו מי רשאי לייצא אותם וכיצד ניתן להשתמש בהם להתחזות לספק או להסטת התכתבות עסקית.",[127],{"label":128,"url":129},"Elekta: הודעה על האירוע","https:\u002F\u002Fwww.elekta.com\u002Fcybersecurity-incident\u002F",{"title":131,"paragraphs":132},"גבולות הסקירה ורישום עריכתי",[133,134],"זוהי סקירה נבחרת לבעלי אתרים ואחסון, ולא מאגר מלא של חולשות החודש. לכל סעיף מצורפים מקורות. חודש הסיקור נקבע לפי חשיפה ציבורית או מהדורת אבטחה; תאריך דיווח פרטי, שנת הקצאת CVE או עריכה מאוחרת ברשומה אינם קובעים אותו.","המהדורה הראשונה הוכנה ב-6 בנובמבר 2026. הודעות פעילות עשויות לכלול תיקונים מאוחרים, ולכן המאמר אינו משחזר במדויק את מצב המקורות בסוף החודש. טרם נרשמו תיקונים למהדורה זו. שינוי מהותי יקבל הערה מתוארכת ועדכון במטא-נתונים של המאמר.","בדיקות להעברה לאחראי התחזוקה",[53,62,77,86,137,138],"תעדו את החבילה או התמונה המותקנת, את התנאי הרלוונטי ואת האחראי לשינוי.","תאמו גיבוי, הפעלה מחדש וחזרה לאחור, ואז בדקו פניות, כניסה ואינטגרציות מושפעות עם נתונים מבוקרים.",[140,143,146],{"question":141,"answer":142},"האם להתקין את הגרסה הישנה שמופיעה בטבלה?","המספרים מזהים את התיקון ההיסטורי לכל ענף. בחרו מהדורה שנתמכת במועד ההתקנה או חבילת הפצה עם תיקון מאומת. תעדו את מהדורת החבילה שהותקנה בפועל.",{"question":144,"answer":145},"האם עדכון מוכיח שהאתר לא נפרץ?","עדכון סוגר את המסלול בתוכנה המושפעת. שינויים חשודים בלוגים, בחשבונות או בקבצים דורשים חקירה נפרדת ובדיקת שחזור. התקנה מוצלחת כשלעצמה אינה משלימה טיפול באירוע.",{"question":147,"answer":148},"מדוע תאריך המתקפה עשוי להיות שונה מחודש הסקירה?","ההודעות בחלק זה מקובצות לפי חודש הפרסום הפומבי. תאריך גילוי מוקדם יותר מצוין בנפרד אם המקור מספק אותו. חקירה מאוחרת או פרסום חוזר של מאגר ישן אינם מוצגים כמתקפה חדשה.",[150,151,152,153,154,155,156,157,158],{"label":56,"url":57},{"label":65,"url":66},{"label":68,"url":69},{"label":71,"url":72},{"label":80,"url":81},{"label":89,"url":90},{"label":92,"url":93},{"label":119,"url":120},{"label":128,"url":129},[160,162,164,167,170],{"path":14,"label":161},"הגיליון הקודם: אוגוסט 2026",{"path":15,"label":163},"הגיליון הבא: אוקטובר 2026",{"path":165,"label":166},"\u002Fblog\u002Fvulnerability-prioritization","איך לתעדף טיפול בחולשות",{"path":168,"label":169},"\u002Fservices\u002Fsecurity-audit","תיאום בדיקת אבטחה לאתר",{"path":13,"label":171},"כל המאמרים",{"title":173,"description":174,"button":175,"type":176},"נבדוק אילו עדכונים נוגעים לאתר שלכם","שלחו את כתובת האתר ואת פרטי האחסון או היישום הידועים לכם. נתאם תחולה, היקף תחזוקה ובדיקות לאחר השינוי.","תיאום היקף העדכונים","check",[178,190,199,207],{"id":179,"path":14,"title":180,"description":181,"category":182,"artwork":183,"order":184,"publishedOn":185,"period":186,"related":187},"D202608","סקירת סייבר לאוגוסט 2026","סקירת סייבר לאוגוסט 2026: חולשות תוכנה, אירועים הקשורים ל-Chubu Electric Power ול-SickKids, מקורות ובדיקות מעשיות לעסק.","digest","vulnerability-digest",3,"2026-09-03","2026-08",[188,6,165,189],"\u002Fblog\u002Fvulnerability-digest-2026-07","\u002Fblog\u002Fwhy-website-updates-matter",{"id":191,"path":15,"title":192,"description":193,"category":182,"artwork":183,"order":194,"publishedOn":195,"period":196,"related":197},"D202610","סקירת סייבר לאוקטובר 2026","סקירת סייבר לאוקטובר 2026: חולשות תוכנה, אירועים הקשורים ל-Capcom \u002F CAPCOM ID ול-ASOS, מקורות ובדיקות מעשיות לעסק.",1,"2026-11-03","2026-10",[6,165,198,189],"\u002Fblog\u002Fwordpress-plugin-vulnerability-response",{"id":200,"path":165,"title":201,"description":202,"category":203,"artwork":204,"order":205,"publishedOn":206},"P083","איך מתעדפים חולשות CVE בעסק ומה מתקנים קודם","תעדוף חולשות באתר ובתשתיות: התאמה למוצר ולגרסה, ניצול מוכר, CVSS, EPSS, חשיפה והשפעה עסקית. טבלת החלטה ובדיקות סיום לכל תיקון.","operations","security",82,"2026-10-22",{"id":208,"path":189,"title":209,"description":210,"category":211,"artwork":211,"order":212,"publishedOn":213},"updates","עדכון אתר וורדפרס: מה בודקים לפני ואחרי","עדכון אתר וורדפרס כולל הכנת גיבוי, בדיקת תאימות ובדיקות תפקוד לאחר השינוי. המטרה היא לשמור על תוכנה נתמכת ולזהות תקלות בזמן. המדריך מתאים לבעלי אתרים שרוצים להבין את התהליך לפני ביצוע או הזמנת תחזוקה.","websites",107,"2026-04-21",[],null,{"path":217,"label":218},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":220,"label":221},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134061785]