עדכון: יש לעדכן את אפליקציות macOS עד 26 ביוני 2026
אנו מאריכים את המועד האחרון לעדכון עבור משתמשי macOS עד 26 ביוני 2026. אנו מתאמים את לוח הזמנים הזה עם Apple כדי להגן על המשתמשים שלנו. נחסמה האפשרות לקבל אישורים נוטריוניים חדשים באמצעות התעודה הקודמת, ולא מצאנו ראיות לחתימה על תוכנה זדונית באמצעות תעודה כלשהי של OpenAI או לשינויים בלתי מורשים בתוכנה שפרסמנו. אמצעי ההגנה האלה ממשיכים להגן על המשתמשים כברירת מחדל בזמן שאנו משלימים את המעבר. אפשר לעדכן בבטחה מתוך האפליקציה או דרך הקישורים הרשמיים שבהמשך.
לאחרונה זיהינו בעיית אבטחה הקשורה לספריית קוד פתוח נפוצה, TanStack npm, כחלק ממתקפה רחבה יותר המכונה Mini Shai-Hulud(נפתח בחלון חדש). לא מצאנו ראיות לגישה לנתוני משתמשי OpenAI, לפגיעה במערכות הייצור או בקניין הרוחני שלנו, או לשינויים בתוכנה שלנו.
נקטנו צעדים נחרצים כדי להגן על נתוני המשתמשים, על המערכות ועל הקניין הרוחני שלנו. במסגרת התגובה שלנו, אנו נוקטים צעדים להגנה על התהליך שמאשר כי אפליקציות macOS שלנו הן אפליקציות מקוריות של OpenAI.
יש לעדכן את אפליקציות macOS עד 12 ביוני 2026
אנו מעדכנים את תעודות האבטחה שלנו, ולכן כל משתמשי macOS יצטרכו לעדכן את אפליקציות OpenAI לגרסאות האחרונות. העדכון מסייע למנוע כל סיכון, גם אם הסבירות לו נמוכה, שמישהו ינסה להפיץ אפליקציה מזויפת שנראית כאילו היא של OpenAI. אפשר לעדכן בבטחה מתוך האפליקציה או דרך הקישורים הרשמיים הבאים:
אבטחת המידע שלכם ופרטיותו נמצאות בראש סדר העדיפויות שלנו. אנו מחויבים לשקיפות ולפעולה מהירה כשמתעוררות בעיות. בהמשך מובאים פרטים טכניים נוספים ותשובות לשאלות נפוצות.
ב-11 במאי 2026 לפי שעון UTC, ספריית הקוד הפתוח הנפוצה TanStack נפגעה במסגרת מתקפה רחבה יותר על שרשרת אספקת התוכנה, המכונה Mini Shai-Hulud(נפתח בחלון חדש).
שני מכשירים של עובדים בסביבה הארגונית שלנו נפגעו במתקפה. עם זיהוי הפעילות הזדונית, פעלנו במהירות כדי לחקור אותה, לבלום אותה ולנקוט צעדים להגנה על המערכות שלנו. במסגרת החקירה והתגובה, שכרנו חברה חיצונית המתמחה בחקירות פורנזיות דיגיטליות ובתגובה לאירועי אבטחה.
זיהינו פעילות התואמת להתנהגות הנוזקה כפי שתוארה בפרסומים פומביים, ובה גישה בלתי מורשית ופעילות להוצאת נתוני הזדהות, במספר מצומצם של מאגרי קוד מקור פנימיים שאליהם הייתה גישה לשני העובדים שנפגעו. אימתנו כי רק כמות מוגבלת של נתוני הזדהות הוצאה בהצלחה ממאגרי הקוד האלה, וכי לא נפגעו מידע או קוד אחרים.
פעלנו מייד לבלימת הפעילות. בידדנו מערכות וזהויות שנפגעו, ביטלנו הפעלות משתמשים, החלפנו את כל פרטי ההזדהות במאגרים שנפגעו, הגבלנו זמנית תהליכי עבודה לפריסת קוד, ובדקנו ביסודיות את פעילות המשתמשים ואת השימוש בפרטי ההזדהות. במסגרת החקירה לא מצאנו ראיות לפגיעה בנתוני לקוחות או בקניין הרוחני שלנו, ובניתוח שערכנו לא זוהו שימוש לרעה בפרטי ההזדהות שנפגעו או גישה נוספת מצד התוקף.
מאגרי קוד המקור שנפגעו כללו תעודות חתימה למוצרים שלנו, לרבות מוצרים ל-iOS, ל-macOS ול-Windows. לכן אנו מחליפים את תעודות החתימה על הקוד כאמצעי זהירות, ומשתמשי macOS יצטרכו לעדכן את האפליקציות שלהם. אין צורך בפעולה מצד המשתמשים באפליקציות ל-Windows ול-iOS. הנחיות נוספות לגבי העדכונים הנדרשים יימסרו למשתמשי macOS.
בנוסף להחלפת התעודות, אנו פועלים בתיאום עם ספקי הפלטפורמות למניעת שימוש בלתי מורשה בתעודות האלה, באמצעות חסימת הנפקתם של אישורים נוטריוניים חדשים. בדקנו גם את כל האישורים הנוטריוניים לתוכנה שניתנו באמצעות התעודות הקודמות שלנו, כדי לוודא שלא בוצעה חתימה בלתי צפויה על תוכנה באמצעות המפתחות האלה, ואימתנו שלא נעשו שינויים בלתי מורשים בתוכנה שפרסמנו. לא מצאנו ראיות לפגיעה בתוכנה שכבר מותקנת או לסיכון הנשקף לה.
לאחר שנבטל לחלוטין את התעודה שלנו ב-12 ביוני 2026, מנגנוני האבטחה של macOS יחסמו הורדות חדשות והפעלה של אפליקציות שנחתמו בתעודה הקודמת.
בעקבות תקרית Axios, האצנו את ההטמעה של אמצעי בקרה וטכנולוגיות אבטחה ייעודיים לצמצום ההשפעה של מתקפות על שרשרת האספקה, כדוגמת המתקפה הזו. תגובת האבטחה שלנו כללה חיזוק נוסף של ההגנה על נתוני הזדהות רגישים המשמשים בתהליך ה-CI/CD שלנו, הטמעת תצורות של מנהלי חבילות עם מנגנוני בקרה כגון minimumReleaseAge, ותוכנות אבטחה נוספות לאימות מקורן של חבילות חדשות.
התקרית התרחשה במהלך הפריסה וההטמעה ההדרגתיות של אמצעי הבקרה האלה. בשני מכשירי העובדים שנפגעו עדיין לא הוחלו התצורות המעודכנות, שהיו מונעות את הורדת החבילה המכילה נוזקה שהתגלתה לאחרונה.
התקרית הזו משקפת שינוי רחב יותר במפת האיומים: תוקפים מתמקדים יותר ויותר ברכיבי תוכנה משותפים ובכלי פיתוח, ולא בחברה מסוימת. תוכנה מודרנית בנויה על מערכת של ספריות קוד פתוח, מנהלי חבילות ותשתיות אינטגרציה רציפה ופריסה רציפה, הקשורים זה בזה באופן הדוק. לכן חולשה שנוצרת במעלה שרשרת האספקה עלולה להתפשט במהירות לארגונים רבים. אנו ממשיכים להשקיע באמצעי בקרה המאמתים את תקינותם ומקורם של רכיבי צד שלישי, ולחזק את ההגנות שלנו מפני מתקפות כאלה על שרשרת האספקה, המשפיעות על כלל המערכת.
האם מוצרי OpenAI או נתוני משתמשים נפגעו?
לא. לא מצאנו ראיות לכך שמוצרי OpenAI או נתוני משתמשים נפגעו או נחשפו.
האם זיהיתם נוזקה שנחתמה בשם OpenAI?
לא. לא מצאנו ראיות לחתימה על תוכנה זדונית באמצעות תעודה כלשהי של OpenAI.
האם צריך לשנות את הסיסמה שלי?
לא. סיסמאות ומפתחות API של לקוחות ומשתמשים לא נפגעו.
על אילו פלטפורמות זה משפיע?
מפתחות החתימה שלנו ל-Windows, ל-macOS, ל-iOS ול-Android נפגעו. כל האפליקציות שלנו נחתמות מחדש ומופצות עם תעודות חדשות. משתמשי macOS יצטרכו לעדכן עד 12 ביוני 2026 כדי שהאפליקציות ימשיכו לפעול.
למה אתם מבקשים ממני לעדכן את האפליקציות ב-Mac?
העדכון מבטיח שימוש בגרסאות שנחתמו בתעודה העדכנית ביותר שלנו. התעודה הזו מסייעת ללקוחות לדעת שהתוכנה מגיעה מהמפתחת המקורית, OpenAI.
מאיפה אפשר להוריד את האפליקציות המעודכנות ל-macOS?
יש להוריד אפליקציות של OpenAI רק באמצעות עדכונים מתוך האפליקציה או מדפי האינטרנט הרשמיים הבאים:
אין להתקין אפליקציות מקישורים בהודעות דוא״ל, בהודעות אחרות, במודעות או באתרי הורדות של צד שלישי. היזהרו מקובצי התקנה בלתי צפויים של ״OpenAI״, ״ChatGPT״ או ״Codex״ שנשלחו בדוא״ל, במסרונים, בהודעות צ׳אט, במודעות, בקישורים לשיתוף קבצים או דרך אתרי הורדות של צד שלישי.
מה יקרה אחרי 12 ביוני 2026?
החל מ-12 ביוני 2026, גרסאות ישנות יותר של האפליקציות שלנו למחשבי macOS לא יקבלו עוד עדכונים או תמיכה, וייתכן שיפסיקו לפעול. אלה הגרסאות האחרונות שנחתמו בתעודה הישנה שלנו:
ChatGPT למחשב: 1.2026.118
אפליקציית Codex: 26.506.31421
Codex CLI: 0.130.0
Atlas: 1.2026.119.1
למה אתם לא מבטלים את התעודה מייד?
פעלנו לחסימת כל אישור נוטריוני נוסף לאפליקציות macOS באמצעות נתוני האישור שנפגעו. כלומר, כל אפליקציה מזויפת שמתחזה לאפליקציה של OpenAI באמצעות התעודה שנפגעה תהיה ללא אישור נוטריוני. לכן מנגנוני האבטחה של macOS יחסמו אותה כברירת מחדל, אלא אם המשתמש יעקוף אותם במפורש. מכיוון שנחסמה האפשרות לקבל אישורים נוטריוניים חדשים באמצעות התעודה הקודמת, ומכיוון שביטול התעודה עלול לגרום ל-macOS לחסום הורדות חדשות והפעלה ראשונה של אפליקציות שנחתמו בה, אנו מאפשרים למשתמשים שלנו לעדכן עד 12 ביוני 2026 כדי לצמצם את ההפרעה לשימוש. פרק הזמן הזה יסייע למזער את הסיכון למשתמשים ויאפשר לעדכן את אפליקציות הלקוח שנפגעו באמצעות מנגנוני העדכון המובנים, כך שהבעיה בהן תתוקן כראוי. אנו פועלים עם השותפים שלנו לניטור סימנים לשימוש לרעה בתעודת החתימה, ונקדים את ביטולה אם נזהה פעילות זדונית בפרק הזמן הזה.
