$ cat /articles --group-by source
מקובץ לפי מקור המידע: OWASP, PortSwigger, Google Project Zero, Snyk, Lovable ועוד.
תיקון פגיעויות אבטחה בשלב פיתוח הקוד חוסך עלויות וסיכונים משמעותיים בהשוואה לתיקונן ב-Production. העצמת מפתחים כקו ההגנה הראשון מבטלת חשיפה לסיכונים בכל שלבי מחזור חיי התוכנה. גישה זו משפרת את אבטחת ה-pipeline ומפחיתה את העומס על צוותי האבטחה.
המבוא ל-Continuous Vulnerability Assessment (CVA) מציג גישה חדשנית לזיהוי חשיפות אבטחה. המערכת מאפשרת למפתחים לזהות חולשות ברגע פרסומן, ובכך מספקת הגנה פרואקטיבית נגד איומי סייבר מתפתחים. זהו כלי חיוני לאבטחת קוד ושרשרת אספקה בעידן פיתוח מואץ בעזרת AI.
סקירה של עשרת הסיכונים המובילים של OWASP לאבטחת שרשרת אספקה (CI/CD) והשפעתם על שטח התקיפה המודרני. המאמר מדגיש את החשיבות הקריטית של ניהול נכון של פרטי גישה למניעת כשלי אבטחה רבים ב-CI/CD.
מאמר זה מדגיש את ההבדל בין פתרונות אנטי-וירוס ו-EDR לבין אבטחת אישורים בפועל. בעוד שכלים אלו מזהים התנהגות זדונית, הם אינם מאתרים אישורים חוקיים חשופים בנקודות קצה. אבטחת אישורים היא תחום נפרד המתמקד בזיהוי ותיקון סודות חשופים לפני שתוקפים יוכלו לנצל אותם.
ניתוח מקיף של פריצת האבטחה שאירעה ב-LiteLLM, ובה נגנבו נתונים עצומים מ-2,488 ארגונים. המאמר חושף מה בדיוק נחשף, איך בוצעה הפריצה ומספק תובנות חשובות לגבי סיכוני אבטחה בשרשרת האספקה של כלי LLM ומיקומם של סודות בארגונים.
>הודעה על כך שפלטפורמת Lovable משלבת כעת את Fable 5.1 בתהליכי הבנייה שלה. אימוץ כלי AI מתקדמים כמו Fable מצביע על מגמה רחבה של שילוב LLMs…
הודעה על כך שפלטפורמת Lovable משלבת כעת את Fable 5.1 בתהליכי הבנייה שלה. אימוץ כלי AI מתקדמים כמו Fable מצביע על מגמה רחבה של שילוב LLMs בפייפליין הפיתוח, במטרה לשפר יעילות ואיכות. זוהי חדשה חשובה עבור מפתחים העוקבים אחר התפתחות כלי AI.
>חברת Lovable הודיעה על גיוס משמעותי של 400 מיליון דולר בסבב גיוס C. המימון מיועד לתמוך בפיתוח ובהרחבת הפעילות שלה, במטרה לסייע לעסקים…
חברת Lovable הודיעה על גיוס משמעותי של 400 מיליון דולר בסבב גיוס C. המימון מיועד לתמוך בפיתוח ובהרחבת הפעילות שלה, במטרה לסייע לעסקים בניהול התפעול השוטף שלהם. גיוס זה מדגיש את הפוטנציאל הטכנולוגי והעסקי של החברה.
>מאמר זה טוען כי גישת 'בורר המודלים' בפיתוח AI עלולה להוות מבוי סתום. הוא בוחן את החסרונות של הסתמכות יתרה על בחירת מודלים קיימים ללא התאמה…
מאמר זה טוען כי גישת 'בורר המודלים' בפיתוח AI עלולה להוות מבוי סתום. הוא בוחן את החסרונות של הסתמכות יתרה על בחירת מודלים קיימים ללא התאמה וחדשנות עמוקה יותר. הדיון מתמקד בהשלכות על ביצועים ויכולת הסתגלות של מערכות למידת מכונה.
>Lovable מציעה דף אבטחה ייעודי לכל עסק המשתמש בפלטפורמה שלה, ומדגישה את מחויבותה לאבטחת מידע. גישה זו מקלה על עסקים לנהל את נוכחותם המקוונת…
Lovable מציעה דף אבטחה ייעודי לכל עסק המשתמש בפלטפורמה שלה, ומדגישה את מחויבותה לאבטחת מידע. גישה זו מקלה על עסקים לנהל את נוכחותם המקוונת באופן מאובטח ומפשטת את עמידתם בתקני אבטחה.
>סקירה זו בוחנת כיצד 50 פרויקטי קוד פתוח שיפרו את אבטחתם באמצעות שילוב של סיוע AI, מומחיות מתחזקים וכלי אבטחה של GitHub. היא מדגישה את…
סקירה זו בוחנת כיצד 50 פרויקטי קוד פתוח שיפרו את אבטחתם באמצעות שילוב של סיוע AI, מומחיות מתחזקים וכלי אבטחה של GitHub. היא מדגישה את חשיבות הגישה ההוליסטית לאבטחת קוד בסביבת פיתוח מונעת בינה מלאכותית. המאמר מסכם לקחים מרכזיים על אסטרטגיות הגנה יעילות בעידן ה-AI.
>גיטאהב הרחיבה את בסיס הנתונים לייעוץ בנוגע לתוכנות זדוניות (malware advisories) מעבר ל-npm, וכעת הוא כולל גם נתונים מ-OpenSSF. הרחבה זו…
גיטאהב הרחיבה את בסיס הנתונים לייעוץ בנוגע לתוכנות זדוניות (malware advisories) מעבר ל-npm, וכעת הוא כולל גם נתונים מ-OpenSSF. הרחבה זו משפרת את אבטחת שרשרת האספקה ומסייעת למפתחים לזהות ולמנוע שימוש בחבילות זדוניות במגוון רחב יותר של פרויקטים.
>GitHub התמודדה עם אתגר של למעלה מ-14,000 מאגרים, שפחות ממחציתם היו עם בעלות ברורה. החברה הצליחה להקצות בעלים מאומת לכל מאגר פעיל בתוך 45…
GitHub התמודדה עם אתגר של למעלה מ-14,000 מאגרים, שפחות ממחציתם היו עם בעלות ברורה. החברה הצליחה להקצות בעלים מאומת לכל מאגר פעיל בתוך 45 ימים, וארכבה את היתר, תוך הפיכת הבעלות לבסיס של כל תהליכי הפיתוח. מהלך זה שיפר משמעותית את האחריותיות (accountability) והניהול של מאגרי הקוד בפלטפורמה.
מסמך Agent Baseline מגדיר 35 בקרות אבטחה בשישה תחומי אבטחה שונים עבור סוכנים (Agents). סדר היישום של הבקרות תלוי באופן שבו הארגון משתמש בסוכנים, ומכסה שימוש בסוכנים לפיתוח קוד, לשימושים פנימיים ובסוכני Production.
הערכת אבטחה התקפית רציפה של Evo חשפה 33 פגיעויות מאושרות במוצר SaaS ארגוני מרובה דיירים. הפגיעויות כללו פרצות שאפשרו פשרה רוחבית של דיירים וכשלים קריטיים בהרשאות גישה. זה מדגיש את החשיבות של אבטחה התקפית יזומה לאיתור וטיפול בחולשות קריטיות בסביבות מורכבות.
סקירה מקיפה של 20 שאלות נפוצות בנושאי אבטחה התקפית רציפה, בדיקות חדירה מבוססות AI (AI Pentesting), בדיקות אבטחה דינמיות של יישומים (DAST) ו-AI Red Teaming. התוכן מספק הבנה מעמיקה של מתודולוגיות אבטחה מתקדמות ויישומי בינה מלאכותית בתחום בדיקות החדירה.
סקירה זו מציגה את היכולות הראשוניות של Snyk בתחום ה-Agentic AppSec. היא מתמקדת בסוכן תיקון אוטונומי שמסייע באיתור ובתיקון חולשות אבטחה, וכן במנגנון הגנה מפני קוד זדוני שמונע שילוב חבילות תוכנה מסוכנות בסביבת הפיתוח.
גרסה 6.0.0 של חבילת keyv, יחד עם עשרה רכיבי npm קשורים, הכילו תוכנה זדונית שהופצה במהלך ההתקנה. המאמר מפרט את הגרסאות המושפעות, דרכי זיהוי והנחיות לתיקון בטוח, ומדגיש את החשיבות של אבטחת שרשרת האספקה בספריות קוד פתוח.
לקוחות דואר אלקטרוני רבים נוטים לרנדר קוד CSS לא מהימן בממשק משתמש מהימן. הם מנסים לאבטח זאת באמצעות סניטציה של CSS. עם זאת, גישה זו עלולה להוביל לפרצות אבטחה אם תהליך הסניטציה אינו מושלם ומאפשר הזרקת קוד זדוני.
מאמר זה מציג כיצד CRLF injection, המכונה כאן CRLF-Power, מאפשרת מתקפות Desync חמורות על זרמי HTTP. החוקרים מראים שחולשת HTTP Header Injection מוערכת בחסר ועלולה להוביל לנזקים קטסטרופליים, מעבר ל-XSS או הפניות פתוחות.
המאמר בודק את היכולת של מערכת אוטונומית מבוססת AI לפתח טכניקות תקיפה חדשות ולנצל אותן כנגד אתרי אינטרנט פעילים. הוא מציג מקרה מבחן של כלי המכונה 'HTTP Terminator' ומראה פוטנציאל לחדשנות במחקר אבטחה באמצעות AI.
המחקר בוחן האם מערכות AI אוטונומיות יכולות לא רק למצוא באגים קיימים, אלא גם להמציא טכניקות תקיפה חדשות ולנצל אותן כדי לפרוץ לאתרי ווב חיים בקנה מידה רחב. הממצאים מצביעים על פוטנציאל מהפכני של AI ביצירת ויישום מתקפות סייבר מתקדמות.
.png)
מהדורה זו של '10 טכניקות פריצת רשת מובילות' מציגה את המחקרים החדשניים ביותר באבטחת ווב לשנת 2025, שנבחרו על ידי הקהילה. המאמר מציג מתודולוגיות חדשות של תוקפים וטכניקות עקיפה המבוססות על פגיעויות חדשות או על שימוש יצירתי בפגיעויות קיימות. הבנת טכניקות אלו קריטית למפתחים ולמקצועני אבטחה להגנה מפני איומים מתפתחים.
הקריאה להגשת מועמדות ל'10 טכניקות הפריצה המובילות לרשת' של שנת 2025 נסגרה וכעת שלב ההצבעה פעיל. חוקרי אבטחה רבים שיתפו את עבודותיהם עם הקהילה באמצעות פרסומים בבלוגים וקובצי מצגות, וכעת הקהילה מוזמנת לבחור את הטכניקות המשפיעות ביותר.
>פלטפורמת האבטחה Aikido Security ופרויקט OWASP משתפים פעולה להשקת חברות פרקים של OWASP בתשלום חודשי המאפשרות ביקורות קוד ברמת פנטסטר…
פלטפורמת האבטחה Aikido Security ופרויקט OWASP משתפים פעולה להשקת חברות פרקים של OWASP בתשלום חודשי המאפשרות ביקורות קוד ברמת פנטסטר, המופעלות באמצעות בינה מלאכותית. במסגרת ההשקה, חברי OWASP יקבלו 200 נקודות זכות חינם לביצוע ביקורות קוד מבוססות AI. שיתוף פעולה זה נועד לשפר את אבטחת היישומים באמצעות טכנולוגיות חדשניות.
>הגרסה החדשה 5.0 של OWASP Dependency-Track, בפלטפורמת הקוד הפתוח לניהול סיכוני אבטחה בשרשרת אספקת התוכנה, זמינה כעת. גרסה זו מציגה יכולות…
הגרסה החדשה 5.0 של OWASP Dependency-Track, בפלטפורמת הקוד הפתוח לניהול סיכוני אבטחה בשרשרת אספקת התוכנה, זמינה כעת. גרסה זו מציגה יכולות מורחבות של מדרגיות רוחבית ועמידות לתקלות, לצד אימות תקינות של שרשרת אספקת התוכנה (SSCS). השדרוג תוכנן מהיסוד ומאפשר זיהוי והפחתה יעילה יותר של סיכונים עבור ארגונים.
>OWASP Juice Shop בגרסה 20.0.0 זמין כעת, ומציע שפע חידושים. גרסה זו כוללת אתגרים חדשים, חזית משתמש מעוצבת מחדש ושיפורים רבים 'מתחת למכסה…
OWASP Juice Shop בגרסה 20.0.0 זמין כעת, ומציע שפע חידושים. גרסה זו כוללת אתגרים חדשים, חזית משתמש מעוצבת מחדש ושיפורים רבים 'מתחת למכסה המנוע', כולל יכולות בינה מלאכותית. זוהי הזדמנות מצוינת למפתחים ללמוד ולתרגל אבטחת יישומים באופן אינטראקטיבי ומהנה.
>OWASP מברכת בברכה 26 תורמים חדשים לתוכנית Google Summer of Code 2026. המשתתפים יתרמו לבניית עולם בטוח יותר על ידי פיתוח קוד וקידום אבטחת…
OWASP מברכת בברכה 26 תורמים חדשים לתוכנית Google Summer of Code 2026. המשתתפים יתרמו לבניית עולם בטוח יותר על ידי פיתוח קוד וקידום אבטחת תוכנה. תוכנית זו מאפשרת למפתחים צעירים לתרום לפרויקטים בקוד פתוח ולרכוש ניסיון מעשי בתחום אבטחת היישומים.
>קרן OWASP חושפת את התוכנית האסטרטגית שלה, המפרטת את הדרך שבה הארגון מתכוון להפוך מכוח מוביל בתחום האבטחה לכוח טרנספורמטיבי. תוכנית זו מציגה…
קרן OWASP חושפת את התוכנית האסטרטגית שלה, המפרטת את הדרך שבה הארגון מתכוון להפוך מכוח מוביל בתחום האבטחה לכוח טרנספורמטיבי. תוכנית זו מציגה מפת דרכים להתמודדות עם האתגר הדחוף של חיסול תוכנות לא מאובטחות בקנה מידה רחב. המסמך מציע מבט מקיף על האופן שבו OWASP מתכננת להביא לשינוי משמעותי ובר-קיימא בתעשייה, תוך התמקדות בפתרון בעיות אבטחה יסודיות.
>קרן OWASP הודיעה על מינויה של מיסי לינדזי למנהלת קשרי חברות. לינדזי מביאה מעל ל-18 שנות ניסיון במרשווק B2B ושיתופי פעולה אסטרטגיים, ותוביל…
קרן OWASP הודיעה על מינויה של מיסי לינדזי למנהלת קשרי חברות. לינדזי מביאה מעל ל-18 שנות ניסיון במרשווק B2B ושיתופי פעולה אסטרטגיים, ותוביל את היחסים עם שותפי הקרן בתחומי הטכנולוגיה. מינוי זה צפוי לחזק את מעמדה ואת פעילותה הבינלאומית של קרן OWASP באבטחת יישומים.
>חוקרים פיתחו שרשרת ניצול 0-קליקים (zero-click exploit chain) עבור מכשירי גוגל פיקסל 10, תוך התבססות על פגיעות קודמת ב-Dolby…
חוקרים פיתחו שרשרת ניצול 0-קליקים (zero-click exploit chain) עבור מכשירי גוגל פיקסל 10, תוך התבססות על פגיעות קודמת ב-Dolby (CVE-2025-54957). הפגיעות המקורית תוקנה ב-2026, אך ניתן היה לעדכן את הניצול כך שיפעל גם בגרסאות חדשות יותר של הפיקסל. השרשרת מאפשרת השגת גישת רוט (root access) למכשיר ללא כל אינטראקציה מצד המשתמש.
פאזינג גרמאטי מוטציוני הוא טכניקה המשתמשת בדקדוק מוגדר מראש ליצירת דגימות קלט. המוטציות שומרות על מבנה הדקדוק, ובכך מבטיחות שהדגימות שנוצרות עומדות בכללי התחביר. שיטה זו יעילה במיוחד באיתור באגים ותקלות בתוכנה על ידי יצירת קלטים חוקיים אך בלתי צפויים, ובשילוב עם כיסוי קוד היא מאפשרת איתור פרצות ביעילות רבה.
>המאמר מנתח את ה-API של Windows בשם GetProcessHandleFromHwnd, שנמצא בשימוש בפרצת UAC bypass. המחבר חוקר את התיעוד הקיים, התנהגותו, ומאפייני…
המאמר מנתח את ה-API של Windows בשם GetProcessHandleFromHwnd, שנמצא בשימוש בפרצת UAC bypass. המחבר חוקר את התיעוד הקיים, התנהגותו, ומאפייני האבטחה שלו, ומדגים כיצד ידע מעמיק על APIs פוטנציאליים יכול לחשוף וקטורי תקיפה חדשים במערכות הפעלה.
>מאמר זה מתאר שיטות לעקיפת הגנת מנהל המערכת (Administrator Protection) ב-Windows, שהוצגה כמענה לבעיות אבטחה ב-UAC. החוקר מצא 9 דרכי עקיפה…
מאמר זה מתאר שיטות לעקיפת הגנת מנהל המערכת (Administrator Protection) ב-Windows, שהוצגה כמענה לבעיות אבטחה ב-UAC. החוקר מצא 9 דרכי עקיפה, מתוכן 5 נבעו משימוש לרעה בגישת ממשק משתמש (UI Access) וקשורות לבעיות ותיקות ב-UAC. הממצאים מדגישים את האתגרים ביישום בקרות אבטחה יעילות במערכות הפעלה מורכבות.
חלק זה מתאר את תהליך הניצול המורכב של פגיעות מסוג Type Confusion (CVE-2024-54529) ב-macOS. הפגיעות התגלתה בשרת ה-coreaudiod באמצעות טכניקת 'knowledge-driven fuzzing'. המאמר מתמקד בפרטים הטכניים של היישום ומסביר כיצד להפוך פגיעות זו לכדי ניצול אפקטיבי במערכת ההפעלה.
>מאמר זה מציג סקירה של תכונת 'הגנת מנהל המערכת' החדשה ב-Windows 11, 25H2, ומבחין בינה לבין UAC. הוא מתאר מחקר אבטחה שבוצע על התכונה הזו…
מאמר זה מציג סקירה של תכונת 'הגנת מנהל המערכת' החדשה ב-Windows 11, 25H2, ומבחין בינה לבין UAC. הוא מתאר מחקר אבטחה שבוצע על התכונה הזו והראה כיצד ניתן לעקוף אותה. המאמר חושף פגמים בארכיטקטורת האבטחה החדשה ואת הפוטנציאל לניצול פריבילגיות.
>החלק השלישי והאחרון בסדרה דן בסוגיות רחבות יותר באקוסיסטם של אנדרואיד, שהתגלו במהלך חקירת ואיתור פגיעות 0-קליקים. המאמר מציג המלצות…
החלק השלישי והאחרון בסדרה דן בסוגיות רחבות יותר באקוסיסטם של אנדרואיד, שהתגלו במהלך חקירת ואיתור פגיעות 0-קליקים. המאמר מציג המלצות לשיפורים מערכתיים כדי להגביר את מאמץ התוקפים. ההמלצות מתמקדות בצמצום משטח התקיפה ושדרוג תהליכי הפיתוח והאבטחה באנדרואיד.
>המאמר ממשיך את סדרת הבלוגים על ניצולPixel 9 ומתמקד בפריצת ה-sandbox של אנדרואיד. הוא מתאר כיצד ניתן לנצל דרייבר התקן נגיש, /dev/bigwave…
המאמר ממשיך את סדרת הבלוגים על ניצולPixel 9 ומתמקד בפריצת ה-sandbox של אנדרואיד. הוא מתאר כיצד ניתן לנצל דרייבר התקן נגיש, /dev/bigwave, מתוך הקשר ה-mediacodec ה'מבודד'. הניתוח חושף דרכים לעקוף מגבלות אבטחה ולגשת למשאבי מערכת נוספים, פריצת דרך משמעותית בשרשרת הניצול.