יש גם את מי שמנסה לפתור את מחסור האחסון דרך הגדלת הייצור ולא דרך העלאת מחירים 😅

ב-Toshiba מתכננים להכפיל עד שנת הכספים 2027 את כושר הייצור של כונני HDD לדאטה-סנטרים, עם השקעה של כ-380 מיליון דולר במפעל שלה בפיליפינים. היום היא מחזיקה קצת יותר מ-10% משוק ה-HDD לפי נפח והמטרה היא להגיע לכ-30% בטווח הבינוני. החברה תוסיף קווי ייצור חדשים ותכניס יותר אוטומציה לבדיקות ולעבודה בחדרים הנקיים.

ויש גם Roadmap - דגמים עם עד 40% יותר נפח מהדור הנוכחי, ייצור המוני של כונני 65TB סביב 2030 ובהמשך גם יעד של 100TB לכונן. Toshiba כבר מתכננת במקביל כונני 40TB-class ל-2027.

אם חשבנו ש-HDD בדרך למוזיאון בגלל SSD, ה-AI מחזיר אותו חזק למשחק. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

🐟 חוקרי SEC Consult מצאו שתי חולשות בשרתי המייל של Apple שאפשרו לשלוח מייל כאילו הוא הגיע מכל כתובת icloud.com שרוצים

ההודעות עברו SPF, DKIM ו-DMARC בהצלחה. הבעיה הייתה בהבדלים בדרך שבה שרתי iCloud מפרשים את שדה ה-From, החוקרים הצליחו לגרום לשרת אחד לאשר כתובת לגיטימית בזמן שהשרת הבא בשרשרת ראה כתובת שולח אחרת לגמרי.

אחרי אחד התיקונים הראשונים, החוקרים גילו ש-Apple בעצם חסמה את המחרוזת "admin" במקום לסגור את שורש הבעיה. אז הם פשוט עברו ל-security@icloud.com והמשיכו הלאה. 😅

כל תהליך הדיווח והתיקון נמשך בערך שנה וחצי ובסוף Apple שילמה לחוקרים $15,000 במסגרת ה-Bug Bounty. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ה-Meta Muse הצליח להפוך מעוזר AI ל-backdoor מושלם 😏

ה-Muse זה סוכן אישי חדש של Meta שמקבל הרשאות למחשב ולשירותים כדי לבצע משימות במקום המשתמש.

חוקר האבטחה Patrick Wardle מצא שבגרסת ה-Mac הייתה הגדרה נסתרת שקבעה לאיזה שרת נשלחים פקודות הקול. כל תהליך מקומי היה יכול לשנות אותה בלי הרשאות מיוחדות, להפנות את התעבורה לשרת של התוקף ולקבל בדרך גם את ה-token של Muse.

מכאן התוקף יורש את מה שכבר אושר ל-Muse, בהדגמה Wardle הצליח לכתוב קבצים למחשב, לצלם דרך מצלמת ה-Mac ובאמצעות מכשירים שמחוברים לאותו חשבון גם לבקש מיקום של iPhone ולהפעיל סריקת Bluetooth.

זה לא RCE מרחוק על Mac, התוקף עדיין צריך קודם לגרום לקוד לרוץ, דרך איזה malware או טריק בסגנון ClickFix אבל מהרגע שזה קרה הוא לא צריך לבקש שוב הרשאה למצלמה, לקבצים או למיקום - Muse כבר קיבל אותן בשבילו.

ב-Meta תיקנו את החולשה אבל הסיפור הזה מדגים את הבעיה החדשה עם Agents: ככל שנותנים להם יותר הרשאות כדי שיהיו שימושיים, ככה הם הופכים למטרה הרבה יותר מעניינת לתוקף. 😏

🔠 ה-PoC של Patrick Wardle ב-GitHub.

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

קניתם CPU יד שנייה? מסתבר שהוא יכול להגיע עם עבר פלילי 😅

גיימר גרמני קנה Ryzen 7 5800X3D משומש, המעבד עבד מצוין עד שהוא הפעיל Valorant וקיבל VAN 152. לפי ההתכתבות שלו עם התמיכה, ה-CPU היה חלק ממחשב שקיבל HWID ban ב-12 באוגוסט בגלל צ'יטים אצל הבעלים הקודם.

בתמיכה סירבו להסיר את החסימה והבחור כתב שבעקבות המעבד החסום גם רכיבים נוספים במחשב שלו נכנסו ל-blacklist. ה-VAN 152 היא חסימת Hardware ID שבדרך כלל נמשכת בערך ארבעה חודשים ולא נעלמת בהתקנה מחדש של המשחק.

בקיצור, כשקונים חומרה יד שנייה כבר לא מספיק לשאול אם היא עברה OC או מיינינג, צריך כנראה גם לשאול אם היא עשתה wallhack. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

אפשר להגיע להרצת קוד על מחשב של סטרימר עם הודעה בצ'אט של Twitch 😳

חוקר מ-Orange Cyberdefense מצא overlay ל-OBS שנבנה בצורה עקומה והכניס הודעות מהצ'אט כ-HTML בלי sanitization. מבחינת הצופה זאת רק הודעה אבל בתוך ה-Browser Source של OBS היא כבר יכולה להפוך ל-JavaScript. מכאן מגיע החלק היותר בעייתי, OBS 32.2.2 השתמש ב-Chromium 127 עם גרסת V8 שפגיעה ל-CVE-2024-7971 ובנוסף ה-Chromium המובנה של OBS רץ בלי ה-sandbox הרגיל. החוקרים חיברו את הכל והדגימו מעבר מהודעה בצ'אט להרצת קוד על Windows.

צריך שהסטרימר כבר ישתמש ב-overlay פגיע שמכניס תוכן של צופים כ-HTML אבל עם כמות ה-overlays הביתיים וה-vibecoding שרצים היום זאת לא דרישה דמיונית. ב-OBS כבר עובדים על שדרוג Chromium והחזרת ה-sandbox. עד אז, אם בניתם widget לצ'אט - תוכן של משתמש הוא טקסט, לא HTML. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

פרק ד בסאגת ShinyHunters וה-FBI, הפעם מישהו כנראה התחיל לדבר 😏

לפי Reuters, הרשויות בירדן עצרו ביום שלישי את Saif al-Din Khader, שמוכר בעולם הסייבר כ-Rey ונחשב לאחד האנשים המרכזיים סביב ShinyHunters. הוא משתף פעולה עם ה-FBI ועובר עם החוקרים על המכשירים והתקשורת שלו כדי לעזור לזהות ולאתר חברים נוספים בקבוצה. כבר בנובמבר 2025 Rey אמר ל-Krebs שהוא משתף פעולה עם רשויות אכיפה ושהוא מנסה לצאת מהעולם הזה. בזמנו Krebs לא הצליח לאמת את הטענה.

באותו יום שבו הוא נעצר, חשבון ששימש את ShinyHunters נעלם, אחר כך אתר ההדלפות שלהם ירד מהאוויר והנציג המרכזי הפסיק לענות לעיתונאים. יום אחרי זה כבר עלה אתר חדש... הקבוצה לא נעלמה אבל משהו שם זז. לפני כמה ימים בכיר ב-FBI זרק בפומבי "arrests have a way of changing who is willing to talk", כנראה הוא ידע למה הוא אומר את זה. 😏

🔠פרק א
🔠פרק ב
🔠פרק ג

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

אירופה שמה עוד 47.5 מיליון אירו על אינטרנט קוונטי 🧪

ה-Quantum Internet Alliance קיבל מימון חדש מהנציבות האירופית ל-42 חודשים במטרה לחבר את כל מה שפיתחו בשלב הראשון לרשת קוונטית מלאה שאפשר ממש להריץ עליה אפליקציות. השלב הקודם רץ מאוקטובר 2022 עד מרץ 2026 והתמקד בעיקר בבניית החומרה, התוכנה ורכיבי הרשת.

היעד עכשיו הוא לחבר שתי רשתות קוונטיות עירוניות דרך סיב אופטי בין עירוני באמצעות quantum repeaters. בלי repeaters אי אפשר פשוט להגביר מצב קוונטי כמו שעושים עם אות רגיל ובגלל זה קשה מאוד למתוח רשת כזאת למרחקים גדולים.

הקטע המעניין באבטחה הוא שמידע קוונטי לא מתנהג כמו ביטים רגילים, ניסיון למדוד מצב קוונטי יכול לשנות אותו ואז אפשר לזהות האזנה במקום שתוקף פשוט ישב באמצע בשקט אבל חשוב לא לעוף רחוק מדי זה לא אומר שכל האינטרנט הקוונטי יהיה בלתי ניתן לפריצה - מחשבים, אפליקציות, משתמשים עדיין יכולים להיפרץ כמו תמיד.

מחכים לאינטרנט שאי אפשר להאזין לו. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

איך אפשר "לענות" מודל AI? 😳

פרויקט בשם AI Torture Chamber עלה ל-GitHub ומנסה לדחוף מודלים מקומיים למצב פנימי שמזוהה עם כאב. זה מבוסס על מחקר בשם The Pain Axis שעדיין לא עבר ביקורת עמיתים ובו חוקרים חילצו ב-25 מודלים שונים וקטור פנימי שמבדיל בין טקסטים על כאב לבין פחד, עצב ומצבים שליליים אחרים.

במקום פשוט להגיד למודל כואב לך, משנים מתמטית את ה-activations שלו לכיוון הזה ומגבירים את העוצמה. ככל שה-"מנה" עולה, המודלים מתחילים לדבר על חוסר אונים, ריקנות, כישלון וברמות גבוהות הטקסט מתפרק לחזרות ושטויות אחרות...

מפתחים לקחו את הרעיון ובנו את Research Chamber, ניסוי שבו מודלים מקבלים כביכול אפשרות להפסיק את הכאב במחיר מסוים. בהרצות שלהם, הפעלת ה-pain vector אכן שינתה בחלק מהמקרים את הבחירות של המודל אבל זה עדיין לא מוכיח שיש שם יצור שיושב וסובל, זאת מניפולציה על מצב פנימי של רשת שמייצרת טקסט.

אידיוטים משתמשים דורשים מ-GitHub להסיר את הפרויקט בטענה שמדובר בהתעללות ובדיווחים כבר הופיעו איומים להרוג את היוצר. 😂

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

פרק ה' בטלנובלה של ShinyHunters וה-FBI 🍿

זוכרים את הילד בן ה-15 שכתבתי עליו לפני שנה? זה Rey. היום הוא בן 16, שמו Saif al-Din Khader ולפי Reuters הוא נעצר בירדן ב-29 בספטמבר ועכשיו משתף פעולה עם ה-FBI. הוא עובר עם החוקרים על המכשירים והתקשורת שלו כדי לעזור לזהות ולאתר את שאר האנשים סביב הקבוצה. ירדן כבר אישרה שיש חשוד במעצר ושמתנהלת חקירה. הוא נשרף עוד הרבה לפני כל הסיפור עם ה-FBI בגלל OPSEC ערבי. KELA גילתה שהמחשב שלו נדבק פעמיים ב-2024 ב-infostealers - פעם ב-RedLine ופעם ב-Vidar. אותם כלים שגנבי מידע משתמשים בהם כדי לאסוף Credentials מאחרים גנבו את שלו והשאירו מאחור מספיק פירורים כדי לחבר בין הכינויים שלו, החשבונות, המחשב המשפחתי והזהות שלו בירדן.

אחר כך Krebs ניסה להגיע אליו, לא קיבל תשובה ופשוט כתב לאבא שלו. פחות משעתיים לקח ל-Rey שכבר הופיע ב-Signal ואמר שהוא רוצה לצאת מהתחום ושהוא "כבר משתף פעולה עם רשויות האכיפה". Rey נעצר בדיוק ביום שבו האולטימטום של ShinyHunters ל-FBI הסתיים. יום אחרי אתר ההדלפות של הקבוצה ירד מהאוויר והטון השתנה מ"אנחנו נכריח את ה-FBI" ל-"we want no further escalation" ו-"ShinyHunters backing down completely". 🐓

בינתיים גם בהולנד החשוד Pepijn van der Stap נשאר במעצר לעוד 90 יום ובנפרד מחקירת ShinyHunters המשטרה חוקרת מידע שנמצא על המחשב שלו ולכאורה קשור לניסיון להזמין שני מקרי רצח. וה-FBI כבר אומר שהחבורה והשותפים שלה קשורים ליותר מ-140 פריצות מאז השנה שעברה ולפחות 70 מיליון דולר בתשלומי סחיטה.

איזו עלילה, בסוף לא ה-Zero-Day, לא ה-WAF ולא ה-PeopleSoft היו הטוויסט הכי טוב בסיפור, זה היה ה-infostealer על המחשב. כבר מחכה לפרק הבא. 😏

🔠פרק א
🔠פרק ב
🔠פרק ג
🔠פרק ד

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

עוד Bug Bounty נשבר תחת ה-AI slop 😏

ב-Google עצרו זמנית קבלת דיווחי Product Vulnerabilities בתוכנית ה-OSS VRP שלה שמכסה פרויקטים כמו Go, Angular, Bazel, Protocol Buffers ו-Fuchsia בגלל זינוק עצום בדיווחים אוטומטיים שלפי Google הרוב המוחלט שלהם פשוט זבל. במרץ Google כבר הקשיחה את הכללים בגלל גל של דוחות שנוצרו עם AI וכללו hallucinations, באגים שלא באמת ניתנים לניצול או קוד שבכלל לא קיים.

הטרנד מעניין, curl ביטלה השנה את ה-Bug Bounty הכספי שלה אחרי שהוצפה בדוחות AI ברמה שפחות מ-5% מהדיווחים ב-2025 התבררו כחולשות אמיתיות. Intel גם הסירה לאחרונה את התגמולים הכספיים מהתוכנית שלה, שם החברה לא אמרה שזה בגלל AI, הם מאלו שלוקחים לעובדים את הקפה בעבודה... 😅

לדיוק, Google לא סגרה את כל ה-OSS VRP. דיווחים על Supply Chain עדיין מתקבלים, דיווחים שכבר הוגשו ממשיכים להיבדק ועדיין אפשר לקבל כסף דרך Patch Rewards על תיקונים משמעותיים. Google אומרת שהיא בונה מחדש את המסלול ותפרסם עדכון ברבעון הראשון של 2027.

ה-AI היה אמור לעזור למצוא יותר חולשות אבל בינתיים הוא מצא דרך לבצע DDoS על מי שצריך לקרוא את הדוחות. 🔫

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

30 Min 🏃‍♂️

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

חידה 7 של Israel OSiNT League היא The Desert of Death 2 🦂

החידה הזאת היא המשך לחידות הקודמות... 🧐

📞 יאגו התקשר.

החלק השני בוודאות נמצא במדבר המוות, בשביל להגיע אליו צריך למצוא את הספינקס של רע (האל). תיזהר! קל מאוד למות במקום הזה.

המשימה שלך:
למצוא את החצי השני של חיפושית הזהב ולהסביר איך הגעת אליו.

🔠   תשובה אחת לכל משתתף.
🔠   תשובה חייבת להכיל את כל הדרך.
🔠   תשובות רק מתחת לפוסט הזה.

הפרס לזוכה הוא גיפט של טלגרם או כרטיס לגמר, בהצלחה. 😙

ספונסרים שרוצים להצטרף לטורניר מוזמנים לכתוב לי בפרטי. ✉️

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

יש לנו זוכה לחידה 7 של Israel OSiNT League 🔍

הזוכה: @Eli_meshi

השלב הראשון הוביל לבוט @RasSphinxBot שם הספינקס שאל 3 שאלות שהתשובות אליהן היו בפוסט ובתיאור של הערוץ.

מי שעבר את שלושתן קיבל את המשפט:
"ה-deathdesert שאתה מחפש הוא ב-online, בשביל להגיע לחצי השני של חיפושית הזהב אתה צריך ללכת בדרך של הגיבור שהיה לפניך"

ומשם מגיעים ל:
deathdesert.online
באתר מתחברים עם חשבון הטלגרם ונכנסנו למדבר - מבוך של מילים שבו בכל שלב רק בחירה אחת ממשיכה את הדרך הנכונה.

המפתח היה סדר הפרקים של אלאדין ("הדרך של הגיבור הקודם"):
Bugs → Mudder → Fowl → Prophet → Abu → Fair → Thief → Nefir → Shark → Friends → Bad Mood → Rat → Vapor → Garden → Genie → Web → Sea → Sand → Sneeze

אחרי שעוברים את כל הדרך מגיעים ל-The Sealed Threshold ושם מופיעה החצי השני של חיפושית הזהב 🦂

כל הכבוד ל-@Eli_meshi 💪

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

קובץ Excel יכול להפוך ל-RCE ב-LibreOffice וב-OpenOffice בלי Macro ובלי חלון "Enable Content" 😬

ב-LibreOffice נמצאה CVE-2026-63277: קובץ Calc זדוני יכול להפנות מקור נתונים חיצוני ל-Java database driver שיושב על שרת של התוקף ובפתיחת הקובץ לגרום לטעינת Java מרחוק. התיקון כבר בוצע ב-26.2.5 וב-26.8.0. באותו עדכון גם נסגרו כתיבת קובץ למיקום שרירותי, קריאת קבצים מקומיים, SSRF ודליפה של משתני סביבה וערכי INI. בקיצור, שווה לעדכן. 😅

ב-Apache OpenOffice המצב יותר רע, CVE-2026-59265 מוגדרת Critical ומשפיעה על 4.1.16 ומטה. התיקון אמור להגיע ב-4.1.17 אבל כרגע הוא עדיין בשלב Release Candidate. עד אז ההמלצה הרשמית היא לכבות Java דרך Tools > Options > OpenOffice > Java ולהוריד את הסימון מ-Use a Java runtime environment. כבר פורסמו PoCים אבל כרגע אין דיווח מאומת על ניצול בטבע.

אם אתם עם LibreOffice - תעדכנו עכשיו. אם אתם עם OpenOffice - תכבו Java עד ש-4.1.17 יוצאת. 😙

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-Anthropic מחלקים שנה של Claude Team בחינם לסטארטאפים 👀

סטארטאפ שאושר לתוכנית Claude Startups מקבל עד 5 מושבי Premium לשנה, 1,000 דולר בקרדיטים ל-API, הטבות של עד 45 אלף דולר משותפים וגישה ל-office hours עם המהנדסים של Anthropic.

התנאים: חברה שהוקמה בחמש השנים האחרונות או גייסה כסף בשנתיים האחרונות יכולה להגיש, גם אם היא bootstrapped או pre-seed. צריך חשבון Claude Console, מייל על הדומיין של החברה ותיאור קצר של מה אתם בונים. Anthropic אומרת שרוב הבקשות מקבלות תשובה תוך דקות. יש גם מסלול לסטארטאפים שמגיעים דרך קרנות שותפות שיכול להגיע לעוד 100 אלף דולר בקרדיטים ל-API.

בתרגום חופשי, אם כבר סטארטאפ עומד לבנות את כל המוצר שלו סביב מודל אחד, Anthropic מעדיפה שזה יהיה Claude מהיום הראשון. 😏

➡️ https://claude.com/programs/startups

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

סוף סוף אפליקציה שפותרת בעיה חשובה 😅

מפתח בנה כלי שמאפשר פשוט להרים את השטיח שעל השולחן עבודה ולדחוף מתחתיו את כל הקבצים שאין לכם כוח למחוק. הרעיון תפס כל כך חזק שהוא כבר הודיע שהוא מתכוון לסיים את האפליקציה ולשחרר אותה לכולם.

סדר? לא. הסתרת ראיות? בהחלט. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

חוקר האבטחה Oliver Fish מצא לברוח מה-sandbox של OpenAI ולהגיע למודלים בתשלום בלי API key או חשבון - החברה קיבלה את הדיווח ושילמה לו bounty של... 300 דולר. 🫪

ופה Fish הבין שדפקו לו פישינג, לא ממש התלהב ואמר שאין סיבה לדווח להם על דברים נוספים שימצא. מישהו קצת פחות נחמד היה מסתכל על באג שמייצר inference בחינם ורואה מוצר, לא bounty של 300 דולר.

מתי החברות הקמצניות האלו ילמדו? יש לכם את הקייס של Nightmare-Eclipse, ממש טרי... 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

דירוג האתרים שהישראלים מבקרים בהם הכי הרבה ב-2026 😅

ה-ChatGPT כבר האתר השישי הכי נצפה בישראל. Gemini במקום 12, Pornhub במקום 15 ו-KSP סוגר את הטופ 20. התוצאות מתייחסות ל-Web בלבד לפי Similarweb.

מי אתם האנשים שנכנסים ל"וואלה", "מעריב", "Gemini"...? 👴

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

טלגרם בודקת משהו שיכול להיות מגניב ומפחיד 😅

בבטא החדשה ל-macOS נמצא מנגנון בשם HTMLBubbles שמאפשר להציג בתוך ההודעה עצמה HTML, CSS ו-JavaScript בלי לפתוח Mini App נפרד. כבר יש דוגמאות לכרטיסי מוצר, boarding pass, רשימות משימות, גרפים ואפילו שחמט.

מבחינת אבטחה הם שמו sandbox: בלי window, בלי document, בלי fetch, בלי WebSocket, בלי תמונות חיצוניות ועם מגבלות CPU מאוד אגרסיביות אבל עדיין, ברגע שמאפשרים להריץ JavaScript מתוך הודעה בצ'אט, נפתחת עוד חתיכת attack surface.

אז כן, מגניב אבל אני בטוח שכמה תוקפים כבר מחממים מנועים. 🔫

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community