תדריך יומי
פגם בפענוח Brotli מאחורי Node.js RCE משפיע גם על Bun, Python ומערכות אחרות הנמצאות בשימוש נרחב...
התדרוך של היום מכסה באגים נרחבים במפענח Brotli, דליפה בשרשרת האספקה ב- LiteLLM, וניצול לרעה פעיל חדש שסומן על ידי CISA.
5 ידיעות3 דקות קריאה
סיכוני שרשרת אספקה של תוכנה ופגמים בתשתית שלא תוקנו שולטים בהתפתחויות האבטחה של ימינו. ארגונים המסתמכים על רכיבים בקוד פתוח ומכשירים ארגוניים מתמודדים עם משימות תחזוקה דחופות.
ראשית, פגיעות של פגיעה בזיכרון במפענח Brotli של גוגל משפיעה על מערכות תוכנה נפוצות, כולל Node.js, Bun, Python ו-Envoy. במקביל, CISA הוסיפה פגיעויות מנוצלות באופן פעיל ב-Collabora Online וב-Arista VeloCloud Orchestrator לקטלוג הפגיעויות הידועות שלה.
על צוותי אבטחה לבצע ביקורת מיידית של סודות חשופים במאגרי מפתחים, להחיל תיקוני ספקים עבור מערכות פריפריה המפורטות בקטלוג CISA ולעדכן תלויות Brotli בסביבות שונות.
מפתח ראשי של LiteLLM שדלף איפשר לתוקפים לגנוב אסימוני GitHub ולחטוף צינור שחרור
מפתח אב של Agent Platform שדלף למאגר ציבורי של GitHub (LiteLLM-Labs/lite-harness) בסוף מאי 2026 אפשר לתוקפים לגנוב טוקנים של GitHub. גורם האיום השתמש לאחר מכן בגישה הגנובה כדי לחטוף את צינור השחרור של LiteLLM ולפרסם גרסה זדונית של חבילת Python.
- מה לעשות
- סובבו מפתחות API חשופים ואסימוני GitHub, בדקו צינורות שחרור CI/CD וודאו שלמות חבילת LiteLLM.
CISA חושפת שני פגמים קריטיים שמנוצלים באופן פעיל ב-Collabora Online וב-Arista VeloCloud
CISA הוסיפה את CVE-2026-110447 בשרת CODE המובנה של Collabora Online ואת CVE-2026-114625 בשרת Arista VeloCloud Orchestrator לקטלוג הפגיעויות הידועות שלה לאחר ניצול פעיל בשטח. הבאגים מאפשרים הזרקת פקודות למערכת ההפעלה והזרקת SQL בהתאמה.
- מה לעשות
- עדכן את שרת CODE המובנה של Collabora Online לגרסה 26.4.303 או גרסה מתקדמת יותר והתקן תיקונים עבור Arista VeloCloud Orchestrator.
פגם בפענוח Brotli מאחורי Node.js RCE משפיע גם על Bun, Python ותוכנות אחרות הנמצאות בשימוש נרחב
פגם בזיכרון במפענח Brotli של גוגל נמצא בתוכניות רבות שפורקות נתונים דחוסים ב-Brotli, ביניהן Bun, חבילות Python Brotli ו-brotlicffi, ופרוקסי Envoy שהוגדרו כדי לפרוק דחיסה של Brotli.
- למה זה חשוב
- מכיוון שכל יישום מושפע כולל עותק משלו של מפענח Brotli של גוגל, ארגונים המסתמכים על זמני ריצה ופרוקסי אלה חייבים לעקוב וליישם עדכונים של ספקים בודדים כדי למנוע ביצוע קוד.
- מה לעשות
- עדכון זמני ריצה וחבילות מושפעים, כולל תלויות Bun, Envoy ו-Python Brotli, לגרסאות מתוקנות.
גוגל טוענת כי נתוני ג'ימייל ותמונות ששותפו עם בינה מלאכותית עשויים לשמש לפרסומות ממוקדות
גוגל עדכנה את מדיניות הפרטיות שלה, החל מ-16 באוקטובר 2026, והבהירה כי נתונים ששותפו מ-Google Photos, Gmail ו-Drive עם תכונות בינה מלאכותית באפליקציות חיפוש או Gemini עשויים להיות מעובדים לצורך הצגת פרסומות ממוקדות.
- למה זה חשוב
- משתמשים וארגונים המשלבים נתונים אישיים או נתונים של Workspace בחיפוש גוגל ובתכונות הבינה המלאכותית של Gemini עשויים לחשוף תוכן מ-Gmail, תמונות ו-Drive למיקוד מודעות מותאם אישית.
- מה לעשות
- סקור את הגדרות הפרטיות של חשבון Google כדי להגביל שיתוף נתונים בין שירותים שונים בין אפליקציות Workspace לבין Search/Gemini.
חוקרים דוחפים למעלה מ-2 מיליון עדכונים כדי להשבית מרחוק את עדכון Popcorn Time שעלול להניע רשת בוטים
חברת האבטחה ההולנדית Eye Security ביצעה את מבצע IXIM, והוציאה למעלה משני מיליון עדכונים מרחוק כדי להשבית עדכון רקע פגיע (Updater.exe) באפליקציית Time4Popcorn הנטושה. הדומיין הלא רשום שבדק העדכון היווה סיכון לחטיפה עבור בוטנט בקנה מידה גדול.
- מה לעשות
- חפש והסר תוכנות מדור קודם לא מורשות כמו Time4Popcorn וחסום חיבורים לדומייני עדכון לא מאומתים.
עיקרי הדברים
- עדכון יישומי מפענח Brotli ב- Node.js, Bun, Python ו- Envoy כדי לתקן את פגם נזק הזיכרון CVE-2026-111497.
- תיקון לשרת CODE המובנה של Collabora Online (CVE-2026-110447) ולשרת Arista VeloCloud Orchestrator (CVE-2026-114625) בעקבות אזהרות CISA.