Ευπάθειες & Ασφάλεια
Ευπάθειες λογισμικού που αξιοποιούνται ή διορθώνονται (CISA KEV, Microsoft, Apple, Google, Android, routers), με απλά βήματα προστασίας και σύνδεσμο στην πηγή. RSS
-
Ευπάθειες & Ασφάλεια
Windows: κενό που κρύβει την προειδοποίηση για επικίνδυνα αρχεία χρησιμοποιείται ήδη σε επιθέσεις
Με τις ενημερώσεις Οκτωβρίου η Microsoft διόρθωσε το CVE-2026-96951, κενό στο Windows Shell που ήδη αξιοποιείται από επιτιθέμενους. Ειδικά φτιαγμένο αρχείο, σταλμένο με email, chat ή από ιστοσελίδα, παρακάμπτει τη σήμανση Mark of the Web, οπότε δεν εμφανίζεται η προειδοποίηση SmartScreen ούτε ανοίγει το Office σε Προστατευμένη Προβολή. Επηρεάζονται Windows 10, Windows 11 και Windows Server. Η CISA το πρόσθεσε στον κατάλογο ευπαθειών με γνωστή εκμετάλλευση στις 13 Οκτωβρίου.
Τι σημαίνει: Η σήμανση Mark of the Web είναι ένας από τους αθόρυβους μηχανισμούς που προστατεύουν καθημερινά τους χρήστες Windows: κάθε αρχείο που έρχεται από το διαδίκτυο παίρνει μια ετικέτα, και με βάση αυτή τα Windows και το Office εμφανίζουν προειδοποιήσεις ή ανοίγουν το αρχείο σε περιορισμένη λειτουργία. Όταν αυτή η ετικέτα παρακάμπτεται, ο χρήστης χάνει το τελευταίο μήνυμα που θα τον έκανε να σταματήσει πριν ανοίξει κάτι επικίνδυνο. Γι' αυτό τέτοια κενά εμφανίζονται συχνά σε καμπάνιες phishing προς επιχειρήσεις, όπου ένα ψεύτικο τιμολόγιο ή μια δήθεν προσφορά αρκεί για να ξεκινήσει η επίθεση. Είναι το τρίτο κενό του Windows Shell με ενεργή εκμετάλλευση μέσα στη χρονιά, κάτι που δείχνει ότι οι επιτιθέμενοι επιστρέφουν συστηματικά σε αυτό το σημείο. Για ελληνικά γραφεία και λογιστήρια, που ανταλλάσσουν καθημερινά συνημμένα με πελάτες και προμηθευτές, η άμεση εγκατάσταση των ενημερώσεων Οκτωβρίου είναι η βασική άμυνα. Προσοχή χρειάζεται και στον κύκλο υποστήριξης: οι εκδόσεις Home και Pro των Windows 11 24H2 σταμάτησαν να λαμβάνουν ενημερώσεις στις 13 Οκτωβρίου, άρα όσοι μένουν σε αυτήν πρέπει να αναβαθμίσουν για να παίρνουν τις επόμενες διορθώσεις. Τέλος, η έλλειψη προειδοποίησης δεν σημαίνει ότι ένα αρχείο είναι ασφαλές· το απρόσμενο συνημμένο παραμένει ύποπτο μέχρι να επιβεβαιωθεί ο αποστολέας με άλλο τρόπο.
-
Ευπάθειες & Ασφάλεια
Plex Media Server: τέσσερα κενά σε αλυσίδα δέχονται μαζικές επιθέσεις, ενημέρωση στην 1.43.3.10861
Η Plex επιβεβαίωσε στις 19 Οκτωβρίου ότι τέσσερα κενά του Plex Media Server, όταν συνδυαστούν, επιτρέπουν σε επιτιθέμενο χωρίς λογαριασμό να εκτελέσει κώδικα στον server μέσω διαδικτύου. Μετά τη δημοσίευση κώδικα επίδειξης στις 16 Οκτωβρίου οι επιθέσεις έγιναν μαζικές, με εγκατάσταση προγραμμάτων εξόρυξης κρυπτονομισμάτων και λογισμικού proxy. Η CISA πρόσθεσε τα CVE-2026-96652, -96654, -96655 και -96656 στον κατάλογο ευπαθειών με γνωστή εκμετάλλευση στις 20 Οκτωβρίου. Η διόρθωση υπάρχει από την έκδοση 1.43.3.10861.
Τι σημαίνει: Το Plex είναι από τα πιο διαδεδομένα προγράμματα για προσωπικές βιβλιοθήκες ταινιών και μουσικής, και τρέχει συχνά σε NAS, σε παλιούς υπολογιστές ή σε μικρούς servers γραφείων. Πολλοί το έχουν ανοίξει στο διαδίκτυο για να βλέπουν περιεχόμενο εκτός σπιτιού, χωρίς να το σκεφτούν ως υπηρεσία που χρειάζεται συντήρηση. Αυτό το κάνει ιδανικό στόχο: ένα μηχάνημα που μένει αναμμένο όλο το εικοσιτετράωρο, με καλή σύνδεση και συχνά με πρόσβαση σε κοινόχρηστους φακέλους του δικτύου. Η διόρθωση κυκλοφόρησε από τις αρχές Σεπτεμβρίου, όμως οι μαζικές επιθέσεις ξεκίνησαν μόλις δημοσιεύτηκε κώδικας επίδειξης, κάτι που δείχνει ότι το κρίσιμο διάστημα είναι οι μέρες μετά τη δημόσια ανάλυση ενός κενού. Ειδικά τα NAS καθυστερούν, γιατί τα καταστήματα εφαρμογών των κατασκευαστών δεν φέρνουν πάντα αμέσως τη νέα έκδοση και χρειάζεται χειροκίνητη εγκατάσταση. Για όποιον τρέχει Plex, τα βήματα είναι απλά: έλεγχος έκδοσης στις ρυθμίσεις, ενημέρωση, και κλείσιμο της απομακρυσμένης πρόσβασης αν δεν χρησιμοποιείται. Αν ο server ήταν παλιός και εκτεθειμένος, η πιο σίγουρη λύση είναι καθαρή εγκατάσταση, αλλαγή κωδικού του λογαριασμού και έλεγχος όσων φακέλων και κωδικών ήταν προσβάσιμοι από το ίδιο μηχάνημα. Για μικρές επιχειρήσεις, το περιστατικό είναι υπενθύμιση να καταγράφουν ποιες συσκευές του δικτύου τους είναι ανοιχτές προς τα έξω, γιατί ένας ξεχασμένος media server μπορεί να γίνει η πόρτα για όλο το δίκτυο.
-
Ευπάθειες & Ασφάλεια
Chrome 156: 353 διορθώσεις ασφαλείας, έξι κρίσιμες, που ισχύουν μόνο μετά την επανεκκίνηση
Η Google κυκλοφόρησε στις 20 Οκτωβρίου τον Chrome 156 με 353 διορθώσεις ασφαλείας, ανάμεσά τους έξι κρίσιμες και 61 υψηλής σοβαρότητας. Τα περισσότερα κενά αφορούν τη διαχείριση μνήμης, με 163 περιπτώσεις αλλοίωσης μνήμης και 125 χρήσης μνήμης μετά την αποδέσμευση. Η Google δεν αναφέρει ενεργή εκμετάλλευση για κανένα από αυτά. Η έκδοση διανέμεται ως 156.0.8078.47/.48 για Windows και macOS και 156.0.8078.47 για Linux.
Τι σημαίνει: Ο αριθμός των διορθώσεων είναι ασυνήθιστα μεγάλος, και μεγάλο μέρος τους προέρχεται από αυτοματοποιημένα εργαλεία και συστήματα τεχνητής νοημοσύνης που ψάχνουν κενά πολύ γρηγορότερα από ανθρώπους. Αυτό είναι καλό νέο για την ασφάλεια μακροπρόθεσμα, αλλά σημαίνει ότι οι ενημερώσεις των browsers θα είναι όλο και πιο συχνές και πιο σημαντικές. Το πρακτικό πρόβλημα δεν είναι η λήψη της ενημέρωσης, που γίνεται αυτόματα, αλλά η εφαρμογή της: ο Chrome συνεχίζει να τρέχει την παλιά έκδοση μέχρι να κλείσει τελείως, και πολλοί χρήστες κρατούν τον browser ανοιχτό για μέρες με δεκάδες καρτέλες. Η σελίδα chrome://settings/help δείχνει την τρέχουσα έκδοση και το κουμπί επανεκκίνησης, και η επαναφορά των καρτελών γίνεται αυτόματα. Το ίδιο ισχύει για Edge, Brave, Opera και άλλους browsers που βασίζονται στον Chromium και φέρνουν τις ίδιες διορθώσεις με δικές τους ενημερώσεις. Για επιχειρήσεις, αξίζει να ορίζεται μέσω πολιτικών ένα μέγιστο διάστημα μέχρι την υποχρεωτική επανεκκίνηση, ώστε οι υπολογιστές του γραφείου να μη μένουν με παλιά έκδοση για εβδομάδες. Ο browser είναι πλέον το κύριο εργαλείο δουλειάς, με πρόσβαση σε email, τράπεζες, λογιστικά προγράμματα και εφαρμογές cloud, άρα η έγκαιρη ενημέρωσή του προστατεύει πολύ περισσότερα από τη σελίδα που βλέπουμε κάθε στιγμή.
Οι περιλήψεις είναι δικές μας. Τα πνευματικά δικαιώματα των πρωτότυπων άρθρων ανήκουν στις πηγές τους.
Έχετε ένα έργο στο μυαλό σας;
Πείτε μας τι θέλετε να πετύχετε. Θα σας απαντήσουμε με συγκεκριμένη πρόταση, χρονοδιάγραμμα και κόστος — χωρίς δεσμεύσεις.