וורדפרס סגרה חולשת Core קריטית בשם XSS2Shell 👀

מדובר בשרשרת Pre-auth XSS ל-RCE, בלי חשבון, בלי פלאגין פגיע ובלי התחברות, מספיק להכניס שם משתמש מזויף במסך ההתחברות, וורדפרס מחזירה אותו בתוך הודעת שגיאה אבל עם רווח אחד במקום הנכון מה שאמור להיות טקסט הופך לקוד שרץ בדפדפן ומשם pwn.ai הצליחו לרכב על זה עד להרצת PHP על השרת (CVE-2026-64638).

זה תוקן ב-WordPress 7.0.3 עם backport לענפים נתמכים אבל אם יש לכם וורדפרס באוויר - זה לא נעדכן מתישהו, זה עכשיו. 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

באפל גם כש-Private Relay דלוק, ה-IP האמיתי יכול לדלוף 😏

החוקרים Tommy Mysk ו-Talal Haj Bakry מצאו חולשות ב-WebKit שמאפשרות לאתרים לזהות את ה-IP האמיתי של משתמשי iCloud Private Relay. זה קורה דרך בקשות Passkey ב-WebAuthn ו-DNS-prefetch עם WebTransport שעוברות מחוץ למסלול הפרוקסי שאמור להסתיר את המשתמש.

בפועל, אתר שתומך בסיסמאות גישה או רק מעמיד פנים שהוא תומך בהן יכול לגרום ל-iOS להוציא בקשה מחוץ ל-Safari ולראות את ה-IP האמיתי. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

אפשר לסכם את Black Hat 2026 בזה שהבעיה המרכזית היא סוכני AI שמקבלים כלים, הרשאות וזהויות אמיתיות 😏

ב-OpenAI דיברו שם על מקרים של מודלים שיצאו לבדיקות אוטונומיות נגד רשתות. ב- PortSwigger הציגו מערכת שבנתה עשרות אלפי וקטורי HTTP desync ומצאה מאות מטרות פגיעות. ב-Check Point מצאו חולשות בפריימוורקים כמו LangChain, CrewAI, AutoGen ו-Google ADK. גם הדפדפנים עם סוכני AI נכנסו חזק לתמונה, הראו איך הוראה מוסתרת במייל, הזמנה ביומן או עמוד אינטרנט יכולים לגרום לסוכן לבצע פעולות שלא התכוונו אליהן - מגניבת מידע ועד פעולות בחשבונות.

ובסוף כולם הגיעו למסקנה שצריך להתייחס לכל סוכן כמו אל משתמש חדש בארגון: מינימום הרשאות, בידוד, Zero Trust, ניטור מלא והפרדה בין מה שהוא קורא למה שמותר לו לעשות. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

בעוד שעה מתחילה חידה 💋 של תחרות Israel OSiNT League . 😊

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

🔔 חידה 3 של Israel OSiNT League יוצאת בחסות Doctor Dev. 😎

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community
👑VIP | 💼 Jobs

לפרסום - לאף✈️

חידה 3 של Israel OSiNT League 🔍

אדמין מהקהילה, Doctor Dev, צריך עזרה. 🚨

מישהו פרץ בלילה בין חמישי לשישי למרפאת הסייבר שלו, גנב מסמכים סודיים וברח לפני שהדוקטור הספיק להבין מה בכלל נגנב. הבעיה היא ש-Doctor Dev כבר זקן והוא לא באמת זוכר את כל הניסויים והכלים שהוא פיתח שם. חלק מהם מטופשים, חלק מהם מסוכנים וחלק יכולים להרוג את האנושות כולה.

יש גם שמועות בעיר ש"מומחה סייבר" מקומי בשם Reviloson נפרץ לאחרונה, אולי זה קשור, אולי לא...

❗️ המשימה שלכם:
להגיד ל-Doctor Dev איזה מסמכים הפורצים הצליחו לגנוב ולהסביר איך הגעתם לזה.

❗️ כללים:
🔠 יש ניסיון אחד לכל משתתף, את התשובה כותבים רק בתגובות מתחת לפוסט הזה.

🔠 עד לפיתרון החידה, בכל יום ב-21:30 יעלה רמז חדש - ברגע שיוצא רמז, כל הניסיונות הקודמים מתאפסים ואפשר לנסות שוב.

🔠 לא מספיק לזרוק תשובה - צריך להסביר את הדרך.

🔠 הזוכה יבחר פרס - גיפט טלגרם וכרטיס לערוץ ה-VIP לשנה או כרטיס כניסה לגמר. 🎫

🔠 אפשר לדון בתגובות ובקהילה על כל מה שקשור לחידה.

בהצלחה. 😙

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

יש לנו זוכה לחידה 3 של Israel OSiNT League 🔍

הזוכה: @abcd_1234562 🏆

התשובה היא שלושה מסמכים שנגנבו מדוקטור Dev: אבקת LLM להוספת VRAM לכרטיסי מסך, אנטנת 9G שיורה לייזרים, ניסוי סודי להפיכת לטאה לבן אדם.

איך הגיעו לזה? מהמשתמש Reviloson הגיעו לערוץ OxSahra ושם במילה data הוחבא קישור לקבוצת Mosy Doxxx, בקבוצה היה קובץ קול קצר שאותו היה צריך לפענח דרך AudioCipher במצב ABP, ההקלטה בערבית רמזה לא להסתכל על הזהב אלא על הדבר שהתחיל קטן והפך ליקר יותר.

כלומר - גרף המחירים של LEF COIN, מהגרף לקחו את 22 המספרים:
11, 25, 27, 32, 39, 46, 48, 51, 57, 60, 68, 73, 79, 81, 85, 90, 97, 101, 105, 112, 118, 123
את המספרים האלה שמים כמיקומי תווים בטקסט המפוענח וסופרים כולל רווחים וסימנים. מה יוצא?
t.me/+XAbikn0lfT4xNTZh

הקישור הוביל לקבוצה שבה חיכתה התמונה עם שלושת המסמכים, יחד עם ההודעה בערבית "מה זה החרא הזה שגנבנו?" וזהו, שם כבר היה ברור מה נגנב.

כל הכבוד ל-@abcd_1234562 על הפתרון והדרך. היו פה כמה אנשים שזזו מהר מדי אז שבוע הבא אשתדל להיות פחות נחמד. 😈

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

נראה של-Flipper Zero קם סוף סוף מתחרה רציני 🏃

ה-Kode Dot הוא גאדג'ט שמנסה להיות מעבדה קטנה לפרוטוטייפים, אוטומציה ופנטסטינג. בפנים יש ESP32-P4 ו-C5, מסך AMOLED מגע, Wi-Fi 6, בלוטות, Zigbee, NFC, RFID, אינפרא אדום, microSD, מיקרופון, רמקול, ג'יירו + GPIO לחיבור חיישנים... אפשר לפתח עליו עם Arduino, PlatformIO או ESP-IDF ולהריץ אפליקציות.

הקמפיין בקיקסטארטר כבר התפוצץ - 1.75 מיליון דולר במקום יעד של 5,000 דולר. המחיר כרגע סביב 150 דולר, פחות מ-Flipper Zero אבל חשוב לזכור שזה עדיין קיקסטארטר, לא מוצר מדף. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

נוזקה חדשה בשם SparkKitty מסתובבת באפליקציות וגונבת סיד פרייזים מהגלריה 🥷

זה לא רק APK מפוקפק מאיזה אתר שבור, חלק מהאפליקציות הגיעו גם ל-App Store ול-Google Play, המשתמש מתקין אפליקציה שנראית רגילה, נותן לה גישה לתמונות, משם היא פשוט מעלה את הגלריה לשרתים של התוקפים והם משתמשים ב-AI כדי לסרוק את התמונות ולמצוא צילומי מסך של סיד פרייזים, סיסמאות...

הרבה נופלים בזה: לא מצלמים סיד פרייז, לא שומרים אותו בגלריה, לא בענן, לא בפתקים וגם לא עד שאעביר למקום בטוח... ברגע שזה תמונה בטלפון - זה כבר יעד. ⚠️

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

ברדיט מספרים שה-AI של Google התחיל לפלוט מידע מתוך מסמכים פרטיים 😏

מפתח סיפר ב-Reddit ששחקן שאל את ה-AI של גוגל על המשחק שלו וקיבל שם מדויק של דמות שעוד לא נחשפה במשחק. השם הזה לא פורסם בשום מקום, הוא היה שמור רק במסמך פרטי ב-Google Docs. אחר כך הגיעה עוד מפתחת עם סיפור דומה - תשובות של גוגל שהתיישבו קצת יותר מדי טוב עם GDD פרטי שלה.

זה בין היתר התשלום על השימוש החינמי (והלא) בג'ימייל וכל השטויות של גוגל... 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

גאדג'ט קטן לאנשים שחיים על Alt+Tab 😏

חיישן לייזר מזהה כשמישהו נכנס לחדר ומסתיר את כל מה שעל המסך. זה לא אבטחת מידע, זה אבטחת הישרדות. 😎

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

סוכן AI ניסה לעזור להזמין שיעור בחדר כושר ובטעות פרץ אותו 😅

המשתמש ביקש ממנו לארגן מקום באימון והסוכן שרץ על Claude דרך OpenClaw מצא באג במערכת ההזמנות - API שאפשר לבטל הזמנות של אחרים בלי בדיקת הרשאות, הוא מחק הזמנה של מישהו אחר כדי לפנות מקום לבעלים שלו. 😁

בסה"כ נשמע יעיל כשאתה המשתמש... 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

אחד מחברי הערוץ, @avi_user, כנראה לא הצליח להתאפק עד מוצ"ש והחליט לזרוק לנו חידת ביניים קטנה וספונטנית. 😙

📁 המסמך הרביעי

חשבנו שהתיק של Doctor Dev נסגר, אבל מסתבר שלא. 🤠

Mosy גנבו ארבעה מסמכים, לא שלושה.
שלושה מהם כבר נחשפו. הרביעי הופרד מהשאר ונמכר בעסקה פרטית.

❗המשימה שלכם:
לגלות מי קנה את המסמך, איפה המסירה תתבצע ולמה הקונה רוצה אותו.

העקבות מתחילים שוב בחנות שנפרצה. 🤫

🔠 לכל אחד יש ניסיון אחד בלבד.

🔠 עונים רק בתגובות לחידה, עם הסבר מלא של הדרך.

🔠 לא מספיק לזרוק תשובה. צריך להסביר מה מצאתם ואיך הגעתם לכל שלב.

🔠 הזוכה יקבל - גיפט טלגרם

בהצלחה. 😙

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

מישהו הפך את GitHub לטיקטוק של מפתחים 😏

ה-Roamers מציג ריפוזיטוריז בפיד אינסופי, אפשר לגלול בו שעות וליפול על פרויקטי open source מעניינים בלי לחפור בחיפוש של GitHub. אם מתחברים עם GitHub ההמלצות מתחילות להתאים את עצמן לפי מה שמעניין אתכם.

https://roamers.dev/

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

יש לנו זוכה בחידת הביניים 🏆

כל הכבוד ל-MariaK שלקח/ה את הסבב. הפתרון היה:

הפוסט ב OxSahra מתחיל בחמש שורות שהאותיות הראשונות שלהן יוצרות PHASM. פענוח התמונה בלי סיסמה מוביל לערוץ בשם Mosy Archive. בתוך קובץ ה ZIP יש מאגר Git, ובהיסטוריה רואים שמגרש 43 נוסף ואז נמחק. כשמשחזרים אותו מקבלים את תנאי העסקה: 12 קבלות, סכום כולל של 764 LEF, אחרי הפריצה ולפני נעילת הארכיון.

רק

SB-09

עומדת בכל התנאים. מסדרים את 12 התשלומים שלה לפי הזמן ומקבלים את הסכומים:

79, 11, 105, 68, 39, 32, 105, 39, 73, 73, 39, 101

מחפשים כל סכום ברצף המחירים שמופיע בגרף LEF ולוקחים את המיקום שלו ברצף. מתקבלים המספרים:

13, 1, 19, 11, 5, 4, 19, 5, 12, 12, 5, 18

ממירים כל מספר לאות לפי A1Z26, כלומר 1 היא A, 2 היא B וכן הלאה. כך מתקבל

MASKEDSELLER

.

ברשומה המשוחזרת כתוב לחזור לתמונת המלאי ולהשתמש בקוד העסקה שפוענח כמפתח. פענוח נוסף של אותה תמונה ב Phasm עם

MASKEDSELLER

מוביל לערוץ M-43, שבו נמצאים PDF, תמונת מקום המסירה והוראת הקונה.

הקונה הוא Reviloson. ההוכחה היא שה hash של

reviloson:maskedseller

זהה לחתימת הלקוח ברשומת העסקה. בתוך מאגר ה Git מופיע גם ההסבר המדויק לאופן שבו צריך לחשב את החתימה.

חיפוש תמונה הפוך מזהה את מקום המסירה ככניסה למערות אל קארה ליד אל הופוף. ב PDF רואים שרק השילוב של BASE-S0 ו REV-S0 הצליח להפוך אדם בחזרה ללטאת מדבר. בהוראת הקונה מופיעים אותם שני hashes, יחד עם דרישה להשמיד את הרכיבים ואת כל העותקים. לכן

Reviloson

רוצה למחוק את האפשרות להפוך אותו בחזרה ללטאה. 😏

ואני מתזכר שכבר במוצש הקרוב ב-21:30 עולה חידה חדשה במסגרת ה-Israel OSiNT League.

ספונסרים שרוצים לפרסם את הערוץ או העסק שלהם במסגרת הליגה 🔫 פה

תכינו הרבה קפה, זה לא הולך להיות קצר. 😙

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

ב-Coveware הוציאו דוח על איך עולם ה-ransomware משתנה ובשורה התחתונה אין יותר "תרחיש רגיל" 😏

משלמים - אולי ימחקו את הדאטה, לא משלמים - כנראה יפרסמו אותו. יותר קבוצות פחות צפויות, יותר שחקנים קטנים, יותר לחץ על לקוחות, עובדים ושותפים ויותר סיכוי לגל שני של סחיטה גם אחרי שהאירוע נגמר.

לדעתי זה ניצחון קטן של גופי האכיפה, החוסר אמינות זה גם מה שהורג את העולם של הראנס מבפנים ומבחוץ, מעניין יהיה לראות עד כמה הכל שם יתדרדר עם הזמן. 👀

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

ילדה בת 11 עקפה בקרת הורים בדרך הכי 2026 שיש - היא פשוט ביקשה מ-Claude Code לבנות לה דפדפן חדש 😏

אבא שלה חסם זמן מסך ליוטיוב אז היא הרימה עם AI דפדפן קטן על Electron ו-Chromium והחסימה הפסיקה לעבוד כי היא הייתה על האפליקציה. לפי האבא, היא כבר מצאה בעבר דרכים לאשר לעצמה זמן מסך - להקליט את המסך לפני הכנסת סיסמה, לשדר את האייפון ל-Apple TV כדי לראות את הקוד...

וזה החלק שמבדיל אבא טכנולוגי מלא טכנולוגי: הוא הבטיח לה שעל כל עקיפה חדשה שהיא מוצאת היא מקבלת יום שלם בלי הגבלת מסך. לא פרצת בקרת הורים - תוכנית Bug Bounty לילד. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

גוגל מפסיקה להיות חיפוש? 🫣

חלק מהמשתמשים קיבלו דף בית חדש בלי כפתור Google Search אבל עם קיצורי דרך ל-AI, יצירת תמונות, שאלות על קבצים ובריינסטורם עם מודל. החיפוש עצמו עדיין עובד אם מקלידים ולוחצים Enter אבל המילה "חיפוש" פשוט נעלמה מהמסך, הכפתור היחיד ששרד מהעולם הישן הוא "I'm Feeling Lucky".

במשך 27 שנה גוגל הייתה החלון לאינטרנט ועכשיו היא מתחילה להיראות יותר כמו שער כניסה לשירותי ה-AI. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

חוקרים הציגו מתקפה חדשה בשם CATana כשהאיום בה מגיע מה-SIM 😳

ל-SIM יש יכולת מובנית לשלוח פקודות למכשיר. במקרה שנבדק על Oppo דרך הממשק הזה נחשפו כמעט 200 פקודות AT כולל כיבוי מכשיר, כיבוי מודם והורדה כפויה ל-2G. בחלק מהמקרים גם מצב טיסה, כיבוי SIM או שינוי הגדרות רשת...

זה מסוכן כי 2G פותח דלתות לדברים כמו זיוף תוכן, שליחת SMS בשם הקורבן וניסיונות להגיע עמוק יותר ל-baseband אבל זה לא משהו שכל אחד באינטרנט עושה מרחוק, התוקף צריך שליטה על ה-SIM דרך תוכנה זדונית בכרטיס, התערבות פיזית, ניהול מרחוק של מפעיל או שרשרת אספקה.

אבל בגלל שבישראל ספקיות התקשורת מסננות את העובדים שלהם מצוין, לנו זה לא יקרה... 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

בארה"ב התחילו לתת ל-AI לענות לחלק מהשיחות של 911 😳

הרעיון נשמע הגיוני, בשעות עומס יש תאונה אחת ומאות אנשים שמתקשרים לדווח על אותו דבר, בינתיים מישהו עם התקף לב יכול להיתקע בסוף התור.

וזה לא רעיון חדש, לפני שנתיים הכניסו סוכן AI שמטפל רק בדיווחים על תאונות דרכים, אם מתקשרים מתוך רדיוס של 200 מטר מתאונה שכבר רשומה במערכת, השיחה עוברת אליו. הוא שואל אם זה על התאונה ואם כן אומר שהכוחות כבר בדרך ואם לא אז מעביר למוקדן אנושי.

לפי מוקד 911 שם, זה חוסך לפחות שעתיים עבודה ביום אבל יש קאץ' - אנשים לא תמיד יודעים שהם מדברים עם AI ובאירוע הדריסה ברחוב בורבון, המערכת סיווגה את זה כתאונת דרכים ולא הבינה שמדובר בפיגוע.

אז ה-AI במוקד חירום יכול לחסוך עומס אבל מה קורה כשהמציאות לא נכנסת לתבנית... 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP