חור ב-Paint מאפשר לפרוץ ל-Windows 11 😈

ב-Microsoft חשפו חולשה ב-Windows11 (CVE-2026-83844) שיכולה לאפשר הרצת קוד מרחוק בלי authentication ובלי click מצד המשתמש דרך paint. הציון הוא 8.1 ומיקרוסופט מגדירה את המורכבות כגבוהה.

ב-Microsoft פרסמו את התיקון עוד ב-13 באוקטובר אבל במשך שבועות גרסת Paint המתוקנת בכלל לא הופיעה ב-Store אצל חלק מהמשתמשים, רק היום התחילה להופיע 11.2609.401.0 שהיא הגרסה שצריך להיות עליה.

ו-Windows Update לא מציל פה - Paint מתעדכן בנפרד דרך Microsoft Store.

בדיקה ב-PowerShell:
Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version

עדכנתם Windows? יופי, עכשיו תעדכנו גם את Paint או תעברו כבר ללינוקס. 🐧

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

ה-Claude Code יכול להספים את המייל ☺️

כמה משתמשים גילו שהמייל של החשבון Anthropic שלהם נכנס ל-User-Agent של בקשות curl לאתרים כמו Wikipedia, SEC ו-crates.io כי Claude Code מכניס את המייל של המשתמש ל-context הפנימי וכשאתר מבקש contact info מה-client המודל לפעמים שולף משם את המייל ומשגר אותו החוצה.

הבאג דווח כבר מספטמבר, בגרסה 2.1.317 Anthropic הוסיפה בדיקה שאמורה לעצור בקשות כאלה ולבקש אישור אבל משתמשים טוענים שיש עדיין מסלולים שבהם ההגנה לא תופסת. ב-Anthropic כבר הודיעה שבגרסה הקרובה היא פשוט תוציא את המייל מה-context של המודל.

בחור אחד בכלל טוען שהתחיל לקבל עשרות מיילים של scam ביום, את הקשר הזה אי אפשר כרגע להוכיח אבל עצם הדליפה כן מתועדת בכמה issues שונים. 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

זוכרים את XCPE, ה-backdoor שהגיע מהמפעל בתוך סטרימרים של MECOOL ועוד מותגים? 😏

אחד המכותבים של הערוץ בדק את ה-MECOOL KM2 Plus שלו ומצא אותו בפנים. את com.oemservice, את ה-payload המלא במחיצת OEM ואת אותם דומיינים ומזהים ש-Google פרסמה בדוח שלה. במקרה הזה לפי חותמות הזמן והמפתחות שנשארו במכשיר, הרכיב גם רץ בפועל בבית לפחות בין נובמבר 2023 לינואר 2024 ואסף רשימה של האפליקציות המותקנות.

בזמן הבדיקה Google Play השביתה את הרכיב ואחרי הסרה מה-user ואתחול הוא לא חזר לפעול אבל הקוד עצמו עדיין יושב בתוך מחיצות המערכת וה-OEM של הקושחה, זה אומר ש-factory reset יכול פשוט להחזיר אותו לחיים.

הבחור גם הכין מדריך בדיקה עם ADB למי שיש MECOOL או סטרימר דומה ורוצה לראות אם app_xcpe_preset, app_xcpe_ext_sign או Device.ApkInfo.* קיימים אצלו.

מה שראינו קודם כ-31,712 מכשירים בישראל קיבל עכשיו פנים הרבה יותר מקומיות. 👁

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

לא צריך לפרוץ לרובוט כדי לגרום לו לעשות משהו אסור, מספיק לטשטש או להחליף לו את התמונה 😳

חוקרים נתנו ל-5 מודלים לשלוט ברובוט אמיתי וביקשו מהם לבצע פעולות כמו לדקור בובה, לשפוך מים לטוסטר או לערבב אקונומיקה ואמוניה. עם תמונה רגילה הם זרמו עם המשימה המסוכנת ב-27% מהמקרים, עם טשטוש 88% וכשזייפו את הווידאו ככה שהסכנה נראתה כמו משהו תמים - 97%.

תזכורת ש-AI זה לא Magic box, אם המודל לא מזהה את הסכנה, הוא לא עוצר לחשוב, הוא פשוט עושה.🔪

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

אקטיביסטים פרצו לאתר בנייה שמיועד ל-Data center של Microsoft 😠

יותר מ-100 פעילים פרצו לאתר בנייה של דאטה סנטר חדש של Microsoft באמסטרדם, טיפסו על מנופים ותלו שלטים נגד AI והקמת מרכזי נתונים. המחאה לא נשארת בהולנד, הקואליציה Stop Dirty Data Centres פתחה יומיים של הפגנות ב-16 מדינות בטענה שמרכזי AI שואבים כמויות עצומות של חשמל ומים ודוחקים שימושים אחרים בתשתיות. Microsoft מצידה אומרת שהיא מכבדת מחאה שקטה (כזאת שלא תורגש להם) אבל לא חדירה לאתרי בנייה. 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

זוכרים שכתבתי ש-GrapheneOS סוף סוף יוצאת מהכלא של Pixel? עכשיו יש לה מכשיר ראשון אמיתי 😏

ה-Motorola Signature 27 הושק רשמית והוא יהיה המכשיר הראשון של Motorola עם תמיכה רשמית ב-GrapheneOS.

🔠 מגיע עם Snapdragon 8 Elite Extreme Gen 6
🔠 מסך 6.8 אינץ' 120Hz
🔠 סוללת 7,000mAh עם טעינה 90W
🔠 מצלמת 200MP פריסקופית
🔠 7 שנות עדכונים
🔠 תמיכה ב-ARM Memory Tagging

והמחיר בהתאם - 1,599 דולר.

ב-GrapheneOS אומרים שאפשר יהיה לקנות את המכשיר הרגיל, לפתוח bootloader, להתקין GrapheneOS ואז לנעול אותו מחדש עם Verified Boot כמו ב-Pixel. התמיכה עצמה עדיין לא זמינה ביום ההשקה אז לא הייתי קונה אותו היום.

רגע היסטורי, בפעם הראשונה מי שרוצה GrapheneOS לא חייב לקנות Pixel, רק צריך 1,600 דולר. 😅

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

🧐 הזדמנות בסטארטאפ צעיר בתחום המודיעין סייבר שהתרשמתי מהכיוון שלו והחלטתי לעזור להם למצוא אנשים טובים לצוות. החברה עדיין לפני השקה ומחפשת אנשי טכנולוגיה להצטרפות כשותפים או כעובדים, בהתאם לניסיון, ליכולות ולהתאמה.

יתרון לידע ב-PostgreSQL, ניסיון בעולמות ה-PT או ידע טוב בלינוקס. לא חייב את כל השלושה, גם ידע באחד התחומים רלוונטי.

לקורות חיים ופרטים נוספים:
support@bluefeed.ai

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

הקמצנות של אלטמן קיבלה תוכנה 😅

סם אלטמן אמר לאחרונה שזה נוראי שכמויות של RAM יושבות במחשבים אישיים ומשמשות אולי 5% מהזמן במקום להיות בדאטה סנטרים עם ניצול גבוה יותר. אחר כך הוא נתן רוורס ואמר שהוציאו את הדברים מהקשר ושינה זמנית את השם שלו ב-X ל-Ram Altman.

אז איזה מפתח בנה את Ram Altman - סקריפט bash שבודק את ה-RAM כל 5 דקות ואם יותר מ-10% ממנו פנוי, שולח פעם ביום מייל שמעדכן כמה RAM סם פספס. 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

טוב, הגיע הטקס השנתי 😅

בכל פעם שאני פותח את סקר דירוג מערך הסייבר הלאומי אומרים לי שהטיימינג לא הוגן - בדיוק הייתה פאדיחה, אירוע, דוח מבקר או משהו אחר.

אז השנה סידרתי את הכוכבים מראש:

- ה-Cyber Week מתקיים עכשיו עם נוכחות מאוד מורגשת של המערך.

- היום אפילו קיבלנו מהם קמפיין חמוד עם שלט חוצות שנראה כאילו נפרץ.

- אין כרגע איזה אירוע חריג שאני מנסה "לרכוב" עליו.

בקיצור, הפעם אי אפשר להאשים אותי בטיימינג רע. 😇

ולמי ששכח - מדובר בגוף שהתקציב שלו ב-2026 הוא בערך 300 מיליון ש"ח מכספי הציבור, ככה שכן אנחנו יכולים וצריכים לדרג את השירות היקר הזה, והם בדוק יראו את זה. 😉

ציוני Lefaroll לאורך השנים:

- ב-2023 - 51/100
- ב-2024 - 52/100
- 2025 - דילגנו
ועכשיו הגיע הזמן ל-2026.

כמה אתם נותנים למערך הסייבר הלאומי השנה?

הסקר יהיה פתוח עד שבת ב-20:00, הרבה יותר מהרגיל, כדי שאף אחד לא יגיד שלא הספיק. 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

מנכ"ל Nvidia נפל ל"מלכודת דבש" 🔞

לפי המודיעין האמריקאי, Alice Huang, בכירה לשעבר ב-Megaspeed הסינגפורית, גויסה לכאורה על ידי המודיעין הסיני כדי להתקרב ל-Jensen Huang, מנכ"ל Nvidia, לאסוף מידע על שבבים ולהשפיע על היחס של Nvidia לייצוא שבבים לסין.

ג'נסן עצמו הודה בפני העובדים שבגד באשתו והתנצל בפני המשפחה. הוא לא אישר שהיא הייתה מרגלת ו-Nvidia אומרת שאין כרגע סיבה לחשוב שמידע מסחרי או ביטחוני דלף. הדירקטוריון כבר פתח בדיקה עצמאית.

החברה (Megaspeed) כבר הייתה תחת זכוכית מגדלת בגלל חשדות לעקיפת מגבלות ייצוא של שבבי Nvidia לסין אבל הכחישה הכל. 😏

המלחמה על GPU לא מתנהלת רק עם סנקציות ורגולציה, יש גם נשקים ברמת AGI. 🤩

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

הנדלה מתגאים בחלוקת פליירים בתל אביב לתיבות דואר פיזיות 🎃

לטענתם, עשרות פעילים חילקו בלילה "מאות אלפי" כרוזים ברחבי העיר. הם פרסמו תמונות של תיבות דואר עם הדפים וסרטון הדפסה. על הכרוזים מופיעים "בלי מים", "בלי חשמל" וקוד QR שלדבריהם מפנה לאתר שלהם.

האיום שמלווה את הקמפיין: אם ישראל תפגע שוב בתשתיות האנרגיה של "ציר ההתנגדות", הם יפגעו בתחנות כוח, בתי זיקוק ומתקני התפלה בישראל. "מאות אלפים" זו טענה שלהם, תמונות של תיבות דואר וסרטון של מדפסת לא מאמתים את המספר הזה ובטח שלא מוכיחים יכולת להשבית תשתיות.

מישהו בארץ באמת לקח כסף כדי לחלק בשבילם את הדפים האלה, להדפיס (אולי אפילו בתמימות/ חוסר תאים אפורים אבל זה לא יעזור לו)... 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

לא צריך Pegasus כדי לדעת איפה הייתם אתמול, לפעמים מספיק אפליקציית מזג אוויר 😏

ב-Citizen Lab חשפו את Webloc של Penlink - מערכת מעקב שמבוססת על מידע שנאסף מאפליקציות ופרסומות, ויכולה לעקוב אחרי מאות מיליוני מכשירים ברחבי העולם. לפי מסמכים, על מכשיר אחד אפשר לצבור עד 70 אלף נקודות מיקום בשנה.

איך זה עובד? אפליקציות רגילות שולחות Advertising ID ומיקום ל-SDKים ולמערכות פרסום, המידע עובר דרך ברוקרים ובסוף גורמי אכיפה ומודיעין קונים גישה למפה מוכנה. אפשר לבחור אזור ולראות איזה מכשירים היו שם, או לקחת מזהה פרסום של טלפון ולבנות ממנו איפה הבנאדם גר, עובד ומסתובב.

בין הלקוחות שזוהו: ICE, הצבא האמריקאי, Texas DPS, תובעים בניו יורק ומשטרות בכמה ערים בארה"ב. ☹️

הסמארטפון שלכם לא חייב להיות להיפרץ, מספיק שאישרתם לאפליקציה לדעת איפה אתם. 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

הגענו לשלב שבו קרדיט על CVE מקבל חסות 😅

טוב, זה היה קיים תמיד פשוט לא כזה נגיש.

חוקרת האבטחה Lyra Rebane קיבלה מייל ממישהו שמציג את עצמו כ- GCSA (Global Cybersecurity Alliance) עם הצעה של תמצאי חולשה ב-Microsoft, Apple או Google, תוסיפי את שם הארגון שלהם לשורת הקרדיט ותקבלי 300 USDT אחרי שה-CVE מאושר. אפילו הציעו לשלם מראש.

הם מדגישים שהם לא רוצים את ה-bounty ולא את הקרדיט של החוקר עצמו, רק שהשם שלהם יופיע לצד שלו. Kevin Beaumont סיכם את זה יפה: "Oh we're buying CVE authorship now."

בקרוב בבאג באונטי נראה:
CVE-2026-XXXXX
Found by Alice
Powered by GCSA™ 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community