מה כדאי לבדוק בעקבות אוקטובר
הבחירה כוללת פרסומים ציבוריים ועדכוני אבטחה מ-1 עד 31 באוקטובר 2026. המקורות נבדקו ב-6 בנובמבר 2026. הגרסאות שלהלן מציינות את סף התיקון בפרסום מאוקטובר. לפני התקנה בוחרים גרסה נתמכת עדכנית או חבילת הפצה הכוללת את התיקון.
העדיפות בטבלה מתייחסת לתנאים המצוינים. התצפיות על תקיפות PHP מיוחסות ל-ELLIO. בשאר הסעיפים המקורות מאשרים את החולשה או העדכון, ואילו ניצול בפועל נותר לא מאומת במסגרת הסקירה.
| אירוע | היכן לבדוק | פעולה לפי הפרסום מאוקטובר |
|---|---|---|
| 2026-10-21 | PHP | CVE-2026-109618 / CVE-2026-109619 | תהליכי PHP לאתר בענפים המושפעים 8.2 עד 8.5 | בדיקה דחופה של החשיפה ועדכון ל-8.2.35, 8.3.36, 8.4.27 או 8.5.12 בענף המתאים |
| 2026-10-21 | Node.js | CVE-2026-111497 | שירותים שפורסים נתוני Brotli ממקור לא מהימן | לתעדף נתיבים חשופים ולעדכן ל-22.23.4, 24.22.1 או 26.12.1 |
| 2026-10-28 | WordPress 7.1.4 | התקנות WordPress ותהליך העדכון שלהן | להתקין עדכון אבטחה נתמך ולבדוק את האתר |
| 2026-10-14 | libcurl | CVE-2026-86415 / CVE-2026-86411 | Windows Schannel או מאגר חיבורי FTP עם תעודות לקוח | לבדוק את מנגנון TLS ואת השימוש החוזר בחיבורים לפני קביעת עדיפות |
PHP והגרסה המשרתת את האתר
CVE-2026-109618 עוסקת במצב הזיכרון אחרי שגיאת מחסור בזיכרון. CVE-2026-109619 עוסקת במצב גלובלי שנותר לא תקין. פרסומי PHP מתארים תנאים שעלולים לאפשר הרצת קוד מרחוק, ומציינים תיקונים ב-8.2.35, 8.3.36, 8.4.27 ו-8.5.12 בענפים המתאימים.
בקשו מספק האחסון לזהות את גרסת PHP המשרתת את האתר, את מהדורת החבילה ואת נוהל ההפעלה מחדש של התהליכים. לאחר העדכון המוסכם בודקים טפסים, משימות וחיבורים. ELLIO מדווחת על פעילות תקיפה ברשת הפיתיונות שלה סביב הפרסום. בהערכת הדחיפות מייחסים את התצפית לדוח ולמועד שלו.
Node.js ופריסת נתוני Brotli
CVE-2026-111497 משפיעה על מפענח Brotli שב-Node.js בענפי 22.x, 24.x ו-26.x. הנתיב הרלוונטי מקבל נתונים דחוסים בשליטת תוקף ומעביר אותם למפענח. בפרסום Node.js מוזכרים קריסה, חשיפת זיכרון והרצת קוד מרחוק כתוצאות אפשריות.
גרסאות התיקון מאוקטובר הן 22.23.4, 24.22.1 ו-26.12.1. בררו עם המפתח איזה שירות מבצע את הפריסה ואיזה דימוי או תהליך משתמש בסביבת הריצה המתוקנת. בונים מחדש דימויים מושפעים ובודקים את הפריסה שרצה בפועל אחרי העדכון.
ליבת WordPress וחלון העדכון
WordPress 7.1.4 פורסמה ב-28 באוקטובר. הפרסום כולל חולשה בתהליך השדרוג שעלולה לאפשר הרצת קוד בחלון העדכון, כמה תיקוני XSS שמור ותיקונים נוספים. היקף הקבוצה מתואר בהודעת הפרויקט.
מתאמים את העדכון עם הגורם המטפל, שומרים עותק שמאפשר חזרה לאחור ובודקים כניסה, טפסים ותשלום בחנות. בענף WordPress אחר מוודאים שתיקון האבטחה המתאים כבר זמין והותקן.
שני מקרים ב-libcurl עם ספי תיקון שונים
CVE-2026-86415 נוגעת לתעודות לקוח אוטומטיות ולשימוש חוזר בחיבורים בבניות Windows Schannel. curl מציינת גרסאות מושפעות מ-8.21.0 עד 8.22.0 ותיקון ב-8.23.0. CVE-2026-86411 נוגעת למאגר חיבורי FTP עם תעודות לקוח. הגרסה המושפעת היא 8.21.0 והתיקון נמצא ב-8.22.0.
שתי ההודעות פורסמו ב-14 באוקטובר, אף שתיקון FTP יצא ב-2 בספטמבר. בודקים חיבורים המשתמשים בתצורות האלה ומזהים את הספרייה שהיישום טוען. הפצת מערכת ההפעלה עשויה לספק חבילה מתוקנת עם מספר מהדורה משלה.
דליפות ואירועי סייבר שדווחו החודש
המקרים האלה תוארו בהודעות פומביות במהלך אוקטובר 2026. תאריך הגילוי מצוין בנפרד כאשר הוא ידוע. התיאורים שומרים על מגבלות המקורות: השבתה לבדה אינה מוכיחה גניבת מידע, ומספר רשומות אינו בהכרח מספר אנשים.
| ארגון | הודעה פומבית | אירוע |
|---|---|---|
| Capcom / CAPCOM ID | 2026-10-22 | גישה לא מורשית לחשבונות |
| ASOS | 2026-10-06 | חשיפת מידע |
Capcom: מידע CAPCOM ID ושינויי סיסמה לא מורשים (2026-10-22)
בהודעה מ-22 באוקטובר דיווחה Capcom על פגיעה במידע לקוחות CAPCOM ID לאחר גילוי ב-19 באוקטובר. העדכון מ-23 באוקטובר אישר שינויי סיסמה לא מורשים ב-196 חשבונות וגישה ל-19 דפי חשבון e-Capcom ביפן. שינוי סיסמה ללא רשות אינו מוכיח כשלעצמו גניבה של הסיסמה המקורית.
בדקו ביטול סשנים, הגנת איפוס סיסמה והתראות על שינויי חשבון. בשירות שנפגע, עקבו אחר הודעות המפעיל באתר הרשמי ובדקו גישה לחשבונות חנות מקושרים ולפרטי קשר שמורים.
ASOS: הודעת דחיפה לא מורשית וחשיפת פרטי קשר (2026-10-06)
בהודעת NCSC הבריטי מ-2026-10-06 תוארו הודעת דחיפה לא מורשית של ASOS וגישה לשמות לקוחות ולפרטי קשר. NCSC הביא את הערכת ASOS שלפיה נתוני כרטיסי תשלום וסיסמאות חשבון ככל הידוע לא נפגעו. באותו שלב הבדיקה נמשכה.
התייחסו להודעות יישום ולמערכות שיווק כערוצים שעלולים לשמש תוקף. אמתו בקשות חריגות דרך אתר רשמי שנפתח בנפרד ובדקו שליטה בהודעות, באינטגרציות ספק ובביטול גישה בחירום.
איך מאשרים את תוצאת העדכון
באתר עסקי כדאי לקשור שינוי תוכנה לתפקוד שנבדק. מתעדים את החבילה או הדימוי לפני העדכון ואחריו, את השירות המושפע, את חלון העבודה שסוכם ואת תוצאת הבדיקה. לכל תלות שנותרה פתוחה ממנים אחראי.
עם נתוני ניסיון בודקים שפנייה עוברת מהטופס ליעד, שהזמנה בחנות עוברת במסלול הבדיקה המוסכם ושהמשימות או קריאות API שהושפעו עובדות. שומרים את התוצאה עם רישום העדכון כדי שאפשר יהיה לברר תקלה מאוחרת יותר.
תקופה, מקורות ותיקונים לסקירה
זו סקירה רטרוספקטיבית נבחרת. התנאים וספי התיקון מבוססים על הודעות הפרויקטים, הערות הגרסה ורשומות CNA המקושרות. ליד כל סעיף מופיעים המקורות התומכים בו. רשומות שהתקבלו בנובמבר עשויות לכלול עריכות מאוחרות לאוקטובר, ולכן מצוין מועד הבדיקה.
המהדורה הראשונה הוכנה ונבדקה ב-6 בנובמבר 2026. אוקטובר בכותרת הוא תקופת הסקירה. טרם נרשמו תיקונים למהדורה הראשונה. תיקון מהותי יתווסף כאן עם תאריך ויעודכן גם בנתוני המאמר.
הערכות ניצול וציוני CVSS חסרים נותרים לא ידועים בבחירה הזאת. חברות ב-CISA KEV וערכי EPSS היסטוריים לא שימשו בסיס לטענות הבחירה. דיווח משמעותי נוסף יכול להופיע בעדכון מתוארך.
