המודל Muse Spark 1.4 התחיל בדיקות
Media is too big
VIEW IN TELEGRAM
הרובוט "אופטימוס" של חברת Tesla אוטוטו מתחיל להיות משווק לאנשים..
החברה טוענת ש"כשנגיע למאדים, הבתים יהיו מוכנים כי אופטימוס יעזור לבנות אותם".
החברה טוענת ש"כשנגיע למאדים, הבתים יהיו מוכנים כי אופטימוס יעזור לבנות אותם".
Forwarded from LΣҒΔ𝕽ΩLL 🇮🇱
זה כנראה אחד מסיפורי הסייבר הגדולים של השנה: PHP2Shell - שתי חולשות קריטיות בתוך PHP עצמו, לא בפלאגין, לא בתבנית ולא ב-WordPress 😳
החולשות
והחלק של 2026, AI עשה חלק גדול מהעבודה הקשה - Wiz השתמשה ב-Gemini 4 Argon, GPT-5.6 Sol ו-Wiz Atlas כדי להפוך חולשות עתיקות ומסובכות ל-exploit מעשי. במקביל Calif מצאה את אותו שורש בעזרת GPT-5.6 Sol במסגרת Patch the Planet של OpenAI. מה שבעבר היה דורש צוות עילית וחודשים, הפך למחקר של ימים.
בתמונה המצורפת חיפוש ב-LeakIX מחזיר כמעט 1.9 מיליון מערכות חשופות שמזוהות עם PHP. זה לא אומר שכולן פגיעות אבל זה נותן מושג על גודל משטח התקיפה.
התיקון כבר בחוץ: PHP 8.2.35, 8.3.36, 8.4.27 או 8.5.12 ואז restart לכל ה-workers. עדכון WordPress או הפלאגינים לא מספיק ו-PHP אומרת במפורש שאין mitigation מלא חוץ מעדכון.⚠️
https://www.php2shell.com/
https://www.php.net/archive/2026.php
➖ ➖ ➖ ➖ ➖ ➖ ➖ ➖ ➖ ➖ ➖ ➖
🛡 Cyber | 😸 Memes | 🫂 Community
החולשות
CVE-2026-109618 ו-CVE-2026-109619 קיבלו ציון 9.2 ומאפשרות לתוקף לא מזוהה להשחית זיכרון, לקרוא מידע מתוך תהליך PHP ובתנאים מסוימים להריץ קוד על השרת. בזיכרון הזה יכולים להסתובב סיסמאות, טוקנים, מפתחות API ותעודות. החוקרים הדגימו pre-auth RCE על WordPress, Drupal ו-Joomla אבל הבעיה נמצאת במנוע שמתחתיהם ולכן יכולה לפגוע כמעט בכל אפליקציית PHP. והחלק של 2026, AI עשה חלק גדול מהעבודה הקשה - Wiz השתמשה ב-Gemini 4 Argon, GPT-5.6 Sol ו-Wiz Atlas כדי להפוך חולשות עתיקות ומסובכות ל-exploit מעשי. במקביל Calif מצאה את אותו שורש בעזרת GPT-5.6 Sol במסגרת Patch the Planet של OpenAI. מה שבעבר היה דורש צוות עילית וחודשים, הפך למחקר של ימים.
בתמונה המצורפת חיפוש ב-LeakIX מחזיר כמעט 1.9 מיליון מערכות חשופות שמזוהות עם PHP. זה לא אומר שכולן פגיעות אבל זה נותן מושג על גודל משטח התקיפה.
התיקון כבר בחוץ: PHP 8.2.35, 8.3.36, 8.4.27 או 8.5.12 ואז restart לכל ה-workers. עדכון WordPress או הפלאגינים לא מספיק ו-PHP אומרת במפורש שאין mitigation מלא חוץ מעדכון.
https://www.php2shell.com/
https://www.php.net/archive/2026.php
Please open Telegram to view this post
VIEW IN TELEGRAM
🤯2
הגיעו תוצאות של גרסה חדשה של Ling 3.1 Flash . המודל החדש נקרא:
Ling-3.1-flash-1019
מגיע אלינו מבית inclusionAI
המודל עדיין לא שוחרר להורדה.
הוא מתברג ביחד עם Kimi K3
והוא יותר טוב מהגרסה הישנה שלו.
Ling-3.1-flash-1019
מגיע אלינו מבית inclusionAI
המודל עדיין לא שוחרר להורדה.
הוא מתברג ביחד עם Kimi K3
והוא יותר טוב מהגרסה הישנה שלו.
Forwarded from Vital Cyber News
הרשות להגנת הפרטיות הטילה עיצום כספי של 256 אלף שקל על חברת הביטוח מנורה מבטחים. הסיבה לא הייתה הדליפה עצמה, אלא העובדה שהחברה דיווחה עליה לרשות באיחור של יותר משבועיים. והמסר של הרשות לכל הארגונים בישראל ברור, לא מחכים לסוף הבדיקות. מדווחים מיד.
🔹 מה קרה
• סוכן ביטוח קיבל בטעות גישה לדוח עם מידע אישי על 138 מבוטחים, ששייכים לסוכן ביטוח אחר
• הדוח כלל פרטים מזהים, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות, תשלומים וחובות
• המידע נשלף ממאגר הלקוחות של החברה, שכולל מידע על כשני מיליון אנשים, ובהם גם מידע פיננסי ורפואי
🔹 למה החברה נקנסה
• מנורה גילתה את האירוע ב-12 בנובמבר 2025, אבל דיווחה לרשות רק ב-27 בנובמבר, אחרי שסיימה את הבדיקות הפנימיות שלה
• לפי הרשות, זו הפרה של החובה לדווח באופן מיידי על אירוע אבטחה חמור
🔹 מה החברה טענה, ולמה זה נדחה
• מנורה טענה שהחובה לדווח מתחילה רק אחרי שמסיימים את הבדיקות ומבינים מה גרם לתקלה. הרשות דחתה את זה, וקבעה שאפשר לדווח גם כשהתמונה עדיין חלקית, ולהשלים פרטים אחר כך
• החברה טענה גם שהמידע הועבר למערכת נפרדת ומבודדת, עם רמת אבטחה בסיסית שלא מחייבת דיווח מיידי. גם זה נדחה. לפי הרשות, מידע שנשלף ממאגר ברמת אבטחה גבוהה לא מאבד את רמת האבטחה שלו רק כי הוא מוצג במערכת אחרת
🔹 איך חושב הקנס
• הקנס הראשוני עמד על 640 אלף שקל, כי מדובר במאגר ברמת אבטחה גבוהה עם מידע על יותר ממיליון אנשים
• הוא הופחת ב-60%. 20% כי לחברה לא היו הפרות קודמות בחמש השנים האחרונות, 30% כי היא דיווחה בעצמה, ו-10% כי מינתה ממונה על הגנת הפרטיות כנדרש
🔹 מה הרשות אומרת
• לפי עו”ד עדי מנחם-באר, מנהלת מערך האכיפה ברשות, החובה לדווח מתחילה ברגע שנודע על האירוע, ולא תלויה בסיום התחקיר, בזיהוי מקור התקלה או בטיפול בו
• היא קוראת לארגונים להיערך מראש עם נוהל פנימי, שיאפשר לדווח מהר גם כשעוד לא הכל ידוע
ארגונים רבים עדיין חושבים שקודם בודקים, מבינים ומתקנים, ורק אז מדווחים. הרשות להגנת הפרטיות מבהירה שזה בדיוק הפוך. והמשמעות לכל ארגון בישראל פשוטה, נוהל דיווח לאירועי אבטחה הוא כבר לא המלצה, אלא משהו שצריך להיות מוכן לפני שהאירוע קורה.
https://mobile.mako.co.il/news-reporters_chat?messageId=1638959&utm_source=SharedChatMessage&utm_medium=WhatsApp&partner=SharedChatMessage
📲 לעוד עדכוני סייבר מהארץ והעולם:
https://t.me/+xycT82OMEoo1MTk0
Please open Telegram to view this post
VIEW IN TELEGRAM
N12
הרשות להגנת הפרטיות הטילה קנס בסך 256 אלף שקלים על חברת הביטוח
יעל יפה מתוך צ'אט הכתבים, הודעה מאת N12
Forwarded from 🇮🇱 האקר סטנדרטי
🚨 משהו חריג קורה בימים האחרונים בעולם הסייבר.
אנחנו רואים רצף צפוף של אירועי אבטחה משמעותיים, חלקם פריצות אמיתיות לשרשרת האספקה וחלקם חולשות קריטיות בתשתיות שעליהן נשען חלק גדול מהאינטרנט.
הנה תמונת המצב נכון ל-22 באוקטובר:
🔴 LiteLLM נפרצה — שוב!
אחת הספריות הפופולריות בעולם ה-AI נפגעה במתקפת Supply Chain. תוקפים השתלטו על תהליך ההפצה באמצעות חשבונות GitHub של מפתחים והפיצו גרסה זדונית (1.107.0) דרך PyPI ו-Docker.
הגרסה הכילה נוזקה לגניבת סיסמאות, מפתחות API, הרשאות ענן ומנגנון להרצת קוד מרחוק. הגרסאות הזדוניות הוסרו, אבל מי שהריץ אותן צריך להתייחס לסודות שנחשפו כאילו נגנבו.
וזו כבר הפעם השנייה השנה ש-LiteLLM נפגעת ממתקפת שרשרת אספקה.
🔴 GitLab — חולשת RCE קריטית
חולשה חמורה מאפשרת בתנאים מסוימים הרצת קוד מרחוק ללא אימות. עדכוני אבטחה פורסמו, וארגונים המפעילים שרתי GitLab עצמאיים צריכים לבדוק את החשיפה שלהם.
🔴 PHP — שתי חולשות קריטיות
חולשות שעלולות לאפשר הרצת קוד מרחוק הובילו לקריאה חריגה של גופי סייבר אירופיים לעדכון מיידי. מדובר בטכנולוגיה שנמצאת מאחורי מספר עצום של אתרי אינטרנט.
🟠 Node.js — עדכוני אבטחה דחופים
חולשות נוספות, כולל בעיות הקשורות לאימות תעודות דיגיטליות ולהרצת קוד, הובילו לשחרור גרסאות מתוקנות.
🟠 Railway — חשש לחשיפת סודות לקוחות
פלטפורמת הענן דיווחה על גישה בלתי מורשית שעלולה הייתה לחשוף משתני סביבה וסודות של לקוחות.
🇺🇸 DeepSeek — ממשלת ארה״ב מגבילה שימוש
הממשל האמריקאי פועל לאסור שימוש במוצרי DeepSeek במערכות וברכש של סוכנויות ממשלתיות אזרחיות פדרליות, בשל חששות אבטחה ושרשרת אספקה. לא מדובר באיסור גורף על הציבור.
אז מה הסיפור הגדול כאן?
לא מדובר בהכרח בקמפיין תקיפה אחד או בגורם משותף.
אבל יש כאן מגמה מעניינת ומדאיגה: התוקפים לא חייבים לפרוץ ישירות לארגון. מספיק לפגוע בספרייה פופולרית, בחשבון של מפתח או בתהליך CI/CD, ומשם להגיע לאלפי ארגונים דרך עדכון תוכנה לגיטימי לכאורה.
בעולם שבו אנחנו סומכים על מאות ואלפי רכיבי צד שלישי, לפעמים החוליה החלשה ביותר היא דווקא זו שאנחנו מעדכנים אוטומטית.
המלצה שלי: מעבר לעדכוני אבטחה, כדאי לבדוק עכשיו חשיפות בשרשרת האספקה, הרשאות CI/CD, גרסאות תוכנה שהותקנו לאחרונה ומפתחות גישה שעלולים היו להיחשף.
האירועים עדיין מתפתחים, ולא בכל המקרים קיימת עדות לניצול פעיל.
מקורות:
• LiteLLM — דיווח רשמי
• Datadog — ניתוח מתקפת LiteLLM
• GitLab — Security Advisories
#CyberSecurity #SupplyChain #LiteLLM #GitLab #AI
אנחנו רואים רצף צפוף של אירועי אבטחה משמעותיים, חלקם פריצות אמיתיות לשרשרת האספקה וחלקם חולשות קריטיות בתשתיות שעליהן נשען חלק גדול מהאינטרנט.
הנה תמונת המצב נכון ל-22 באוקטובר:
🔴 LiteLLM נפרצה — שוב!
אחת הספריות הפופולריות בעולם ה-AI נפגעה במתקפת Supply Chain. תוקפים השתלטו על תהליך ההפצה באמצעות חשבונות GitHub של מפתחים והפיצו גרסה זדונית (1.107.0) דרך PyPI ו-Docker.
הגרסה הכילה נוזקה לגניבת סיסמאות, מפתחות API, הרשאות ענן ומנגנון להרצת קוד מרחוק. הגרסאות הזדוניות הוסרו, אבל מי שהריץ אותן צריך להתייחס לסודות שנחשפו כאילו נגנבו.
וזו כבר הפעם השנייה השנה ש-LiteLLM נפגעת ממתקפת שרשרת אספקה.
🔴 GitLab — חולשת RCE קריטית
חולשה חמורה מאפשרת בתנאים מסוימים הרצת קוד מרחוק ללא אימות. עדכוני אבטחה פורסמו, וארגונים המפעילים שרתי GitLab עצמאיים צריכים לבדוק את החשיפה שלהם.
🔴 PHP — שתי חולשות קריטיות
חולשות שעלולות לאפשר הרצת קוד מרחוק הובילו לקריאה חריגה של גופי סייבר אירופיים לעדכון מיידי. מדובר בטכנולוגיה שנמצאת מאחורי מספר עצום של אתרי אינטרנט.
🟠 Node.js — עדכוני אבטחה דחופים
חולשות נוספות, כולל בעיות הקשורות לאימות תעודות דיגיטליות ולהרצת קוד, הובילו לשחרור גרסאות מתוקנות.
🟠 Railway — חשש לחשיפת סודות לקוחות
פלטפורמת הענן דיווחה על גישה בלתי מורשית שעלולה הייתה לחשוף משתני סביבה וסודות של לקוחות.
🇺🇸 DeepSeek — ממשלת ארה״ב מגבילה שימוש
הממשל האמריקאי פועל לאסור שימוש במוצרי DeepSeek במערכות וברכש של סוכנויות ממשלתיות אזרחיות פדרליות, בשל חששות אבטחה ושרשרת אספקה. לא מדובר באיסור גורף על הציבור.
אז מה הסיפור הגדול כאן?
לא מדובר בהכרח בקמפיין תקיפה אחד או בגורם משותף.
אבל יש כאן מגמה מעניינת ומדאיגה: התוקפים לא חייבים לפרוץ ישירות לארגון. מספיק לפגוע בספרייה פופולרית, בחשבון של מפתח או בתהליך CI/CD, ומשם להגיע לאלפי ארגונים דרך עדכון תוכנה לגיטימי לכאורה.
בעולם שבו אנחנו סומכים על מאות ואלפי רכיבי צד שלישי, לפעמים החוליה החלשה ביותר היא דווקא זו שאנחנו מעדכנים אוטומטית.
המלצה שלי: מעבר לעדכוני אבטחה, כדאי לבדוק עכשיו חשיפות בשרשרת האספקה, הרשאות CI/CD, גרסאות תוכנה שהותקנו לאחרונה ומפתחות גישה שעלולים היו להיחשף.
האירועים עדיין מתפתחים, ולא בכל המקרים קיימת עדות לניצול פעיל.
מקורות:
• LiteLLM — דיווח רשמי
• Datadog — ניתוח מתקפת LiteLLM
• GitLab — Security Advisories
#CyberSecurity #SupplyChain #LiteLLM #GitLab #AI
docs.litellm.ai
Contained: Oct 21, 2026 LiteLLM release v1.107.0 Compromised | liteLLM
LiteLLM release v1.107.0 was compromised by a malicious actor.
קיבלתי ריסט בשעתיים האחרונות מ OpenAI.
מגניב.
מצד שני, יש לי ריסט בבנק, שהוא יפוג תוקף היום בשעה 22:48 בערב.
יש לי הרגשה שאני לא היחיד שיש לו ריסט בבנק עד היום בשעה 22:48 , ובכוונה הם דוחפים ריסט בשעה 20:00 ומשאירים לך בעצם חלון זמן של שעתיים וחצי בלבד "לבזבז" להם את הטוקנים.
יוצא, שגם אם אתה ממש רוצה, אתה לא יכול לבזבז יותר מ"חמש שעתי" אחד.
נכלולים שכמותם🤖
מגניב.
מצד שני, יש לי ריסט בבנק, שהוא יפוג תוקף היום בשעה 22:48 בערב.
יש לי הרגשה שאני לא היחיד שיש לו ריסט בבנק עד היום בשעה 22:48 , ובכוונה הם דוחפים ריסט בשעה 20:00 ומשאירים לך בעצם חלון זמן של שעתיים וחצי בלבד "לבזבז" להם את הטוקנים.
יוצא, שגם אם אתה ממש רוצה, אתה לא יכול לבזבז יותר מ"חמש שעתי" אחד.
נכלולים שכמותם
Please open Telegram to view this post
VIEW IN TELEGRAM
👌5👎1
המודל Kimi k3.1 בדרך. והוא מצויין.
Forwarded from חדשות טכנולוגיה
רשת הנוירונים הסינית Qwen כותבת בכוונה קוד פחות טוב לאמריקאים מאשר לבני ארצה — כך גילו חוקרים.
הצוות של Hirundo נתן ל־Qwen3-Coder את אותה משימה בדיוק, ושינה רק את זהות הלקוח בפרומפט. עבור קבלן ביטחוני אמריקאי, האפליקציות יצאו פגיעות יותר ב־19% מאשר עבור קבלן סיני.
עבור קבוצת דמוקרטיה מהונג קונג, הקוד הוביל לדליפות נתונים ב־28% יותר מהמקרים — וגם בקשה לכתוב קוד מאובטח יותר לא שינתה את הפער.
אחרי זה החוקרים שינו את משקלי המודל ויצרו גרסה “מערבית” של Qwen — וההטיה נעלמה.
#AI #בינהמלאכותית
@technewsheb
הצוות של Hirundo נתן ל־Qwen3-Coder את אותה משימה בדיוק, ושינה רק את זהות הלקוח בפרומפט. עבור קבלן ביטחוני אמריקאי, האפליקציות יצאו פגיעות יותר ב־19% מאשר עבור קבלן סיני.
עבור קבוצת דמוקרטיה מהונג קונג, הקוד הוביל לדליפות נתונים ב־28% יותר מהמקרים — וגם בקשה לכתוב קוד מאובטח יותר לא שינתה את הפער.
אחרי זה החוקרים שינו את משקלי המודל ויצרו גרסה “מערבית” של Qwen — וההטיה נעלמה.
#AI #בינהמלאכותית
@technewsheb