תדריך יומי
תמיכה ב-Windows 11 24H2 Home ו-Pro תסתיים באוקטובר
התדרוך של היום מכסה פגיעויות קריטיות בפותרי DNS, לוחות זמנים לסיום תמיכה במערכות הפעלה ומתודולוגיות מודרניות לניהול חשיפות.
5 ידיעות2 דקות קריאה
תוכנות תשתית קריטיות ממשיכות להתמודד עם סיכוני ביצוע קוד מרחוק, אשר הודגשו היום על ידי פגיעויות חמורות של גלישת קוד (heap overflow) שהתגלו בפותרי DNS לא קשורים. מנהלי מערכות המפעילים התקנות מושפעות צריכים לתעדף עדכוני תוכנה מיידיים כדי למנוע שרשראות ניצול אפשריות באמצעות תגובות DNS זדוניות.
במקביל, צוותי אבטחה מתמודדים עם לחץ תפעולי גובר עקב דחיסת הזמן בין גילוי פגיעויות לציבור לבין פיתוח פרצות בעולם האמיתי. ארגונים מעריכים מחדש הערכות תקופתיות מסורתיות לטובת אימות סיכונים מתמשך ומסגרות בדיקות אבטחה המונעות על ידי בינה מלאכותית.
פגם קריטי במאמת DNSSEC לא קשור עלול לאפשר RCE דרך אזור DNS זדוני
מעבדות NLnet הוציאו את Unbound 1.26.1 כדי לטפל בגלישה קריטית של heap במאמת ה-DNSSEC שלה (CVE-2026-81642) המאפשרת ביצוע קוד מרחוק דרך אזורי DNS זדוניים. הגרסה מתקנת גם את CVE-2026-82717, פגם של פגיעה ב-heap בסינתזת CNAME שיכול להוביל ל-RCE בתנאים ספציפיים.
- למה זה חשוב
- רזולוטורים לא מאוגדים לפני גרסה 1.26.1 פגיעים להפעלת קוד מרחוק המופעלת על ידי שאילתות לאזורי DNS הנשלטים על ידי תוקף ללא צורך בהרשאות או התערבות משתמש.
המדריך המומחה של CISO לבדיקות חדירה של סוכנים לאתרי אינטרנט
Reflectiz פרסמה מדריך הדן בעלייתן של בדיקות חדירה סוכניות (agentic penetration testing), ומדגישה כיצד מערכות בינה מלאכותית אוטונומיות ובדיקות תכנותיות רציפות מסייעות לצוותי אבטחה למצוא ולתקן פגיעויות ברשת מהר יותר מאשר פעולות ידניות תקופתיות.
- למה זה חשוב
- כאשר תוקפים משתמשים במהירות בפונקציות חימוש של פגיעויות, בדיקות תקופתיות משאירות חלקים גדולים מנכסי האינטרנט ללא בדיקה, בעוד שבדיקות אוטונומיות של בינה מלאכותית דורשות מעקות בטיחות חזקים, כיסוי ומסלולי ביקורת.
- מה לעשות
- סקירת אסטרטגיות בדיקת יישומי אינטרנט כדי להעריך את דרישות הבדיקה המתמשכות ואת מעקות הבטיחות.
תמיכה ב-Windows 11 24H2 Home ו-Pro תסתיים באוקטובר
מיקרוסופט הזכירה ללקוחות השבוע כי מכשירים המריצים את גרסאות Windows 11 24H2 Home ו-Pro יפסיקו לקבל עדכונים בחודש הבא.
האם ניתן להוכיח ש-CVE חדש ניתן לניצול לפני שתוקפים יעשו זאת? למדו כיצד בוובינר הזה
CVE חדש יורד.
ארה"ב הסירה את פלטפורמת ה-DDoS NightmareStresser
ארה"ב
עיקרי הדברים
- אימות יכולת ניצול פגיעויות בסביבות מקומיות במקום לתעדף תיקון על סמך ציוני חומרה של CVSS בלבד.