מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.
החולשות שקיבלו עמוד הסבר בעברית בימים האחרונים. חלקן התגלו לאחרונה וחלקן ותיקות יותר שנוספו עכשיו למאגר.
בזמן שליבת WordPress מתקינה עדכון מלא היא פורשת את הקבצים לנתיב צפוי מראש שנגיש מהדפדפן, ותוקף שפונה לשם בדיוק אז יכול להריץ קוד על השרת. החולשה נרשמה כמנוצלת בפועל ב-3 בנובמבר 2026.
שמות הקבצים שההתקן יוצר היו צפויים מראש, כך שמשתמש מזוהה יכול להעלות תוכן משלו למקום שהוא יודע לאתר. הציון הוא 4.3 בלבד, והחולשה בכל זאת נרשמה כמנוצלת בפועל. הגרסאות המתקנות הן 25.1.1.3 ו-22.8R2.6.
חולשה ברכיב שמפרסר הודעות WAP Push באנדרואיד מאפשרת לשלוח הודעה שמפילה את השירות, בלי שתיגעו בכלום. התיקון נמצא בעדכון האבטחה של נובמבר 2026.
חולשה בתוסף PDF Invoice for WooCommerce, בגרסאות עד 7.1.1 כולל, מאפשרת לתוקף בלי חשבון להריץ קוד על השרת דרך שדה ההערה בקנייה. מה לעדכן ומה לבדוק בחנות.
חולשה ב-Gravity Forms לוורדפרס, בכל הגרסאות עד 3.1.2 כולל, מאפשרת למי ששולח טופס בלי חשבון להזריק אובייקט PHP. מתי זה הופך להרצת קוד ומה בודקים בהגדרות הטופס.
חולשה בשרת WS_FTP של Progress מאפשרת לתוקף מהרשת לשלוף מידע רגיש, ובכלל זה את פרטי האימות של המנהל, בלי שהזדהה. הגרסאות המתקנות הן 2024.0.6 ו-2025.0.3, וזה מה שצריך לעשות אחרי העדכון.
חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.
מודול ב-WS_FTP Server של Progress פרס נתונים שהגיעו מכל פונה והפך אותם לאובייקט חי, וכך אפשר הרצת פקודות על מערכת ההפעלה בלי התחברות. החולשה נוצלה בשטח, והתיקון הוא 8.7.4 או 8.8.2.
ביטוי רגולרי שנבנה בכוונה בתוך הגדרות ה-CI של GitLab מאפשר לתוקף בלי חשבון להריץ קוד על השרת, והחולשה כבר מנוצלת בשטח. הגרסאות המתקנות הן 19.2.8, 19.3.5 ו-19.4.2.
חולשה ב-ProFTPD מאפשרת לקרוא ולכתוב קבצים על השרת בשתי פקודות, בלי הזדהות. כך מכבים את המודול הבעייתי ומה לבדוק בשרת ותיק.
חולשה בגרסאות 0.40 ו-1.40 של Metabase מאפשרת לגרום לשרת לקרוא קבצים ומשתני סביבה מתוך עצמו ולהחזיר אותם. היא מנוצלת בפועל, והתיקון הוא 0.40.5 או 1.40.5.
בלוח הניהול CyberPanel, בגרסאות עד 2.3.6 וגם ב-2.3.7 שלא עודכנה, כתובת אחת מריצה פקודות מערכת בלי שם משתמש וסיסמה. היא נוצלה בשטח, והתיקון הוא 2.3.8.
תוקף בלי חשבון שהגיע לממשק הניהול של LoadMaster יכול היה להריץ פקודות מערכת על המכשיר. הציון הוא 10 מתוך 10, ואלה שלושת ענפי הגרסאות שסוגרים את החולשה.
חולשה בציון 10 ב-CyberPanel מאפשרת לעקוף את האימות ולהריץ פקודות על השרת בלי סיסמה, והיא נוצלה בקמפיין כופר של PSAUX. התיקון נמצא בגרסה 2.3.8.
חולשה במכשירי אפל אפשרה לאפליקציה זדונית לצאת מגבולות ההרשאות שלה. אפל מסרה שייתכן שנוצלה נגד אייפון לפני 17.2, ואלה הגרסאות שסוגרות אותה בכל מכשיר.
חולשת הזרקת פקודות ב-Aviatrix Controller מאפשרת לתוקף לא מזוהה להריץ קוד על הרכיב שמנהל את רשת הענן. מנוצלת בפועל, והגרסאות המתקנות הן 7.1.4191 ו-7.2.4996.
אפל חסמה כבר ב-iOS 17.2 תקיפה שהשתמשה בחולשה הזאת, וכעת הוציאה תיקון שסוגר את החולשה עצמה. הציון 10 מתוך 10, ואלה מספרי הגרסאות לכל מכשיר.
רכיב העלאה ב-SAP NetWeaver לא בדק בכלל מי פונה אליו, וכל מי שהגיע אליו ברשת יכול היה להשאיר בשרת קובץ שרץ. הציון 10, החולשה מנוצלת בשטח, וכך בודקים אם הרכיב פעיל אצלכם.
חולשה בציון 10 מתוך 10 ב-WSO2 API Manager מאפשרת לזייף כרטיס כניסה חתום ולהתקבל כמנהל המערכת, והיא כבר מנוצלת בשטח. אלה הגרסאות שסוגרות אותה.
שרת ה-SSH של Erlang/OTP חשוף להרצת קוד בלי שם משתמש וסיסמה, בציון 10 מתוך 10, והחולשה כבר מנוצלת בשטח. אלה הגרסאות שסוגרות אותה ומה עושים עד שמעדכנים.
תוקף מרוחק עקף את האימות של רכיב הניהול MegaRAC SP-X דרך ממשק Redfish והגיע לשליטה על השרת עצמו. הגרסאות המתוקנות הן 12.7 ו-13.5, והציון הוא 10.
חולשה בציון 10 ב-Wing FTP Server מאפשרת להזריק קוד לקובץ ההפעלה של הסשן ולהריץ פקודות בהרשאות השירות, גם דרך חשבון אנונימי. התיקון הוא 7.4.4.
חולשה ב-FreePBX 15, 16 ו-17 אפשרה לתוקף בלי חשבון להגיע לממשק הניהול, לשנות את מסד הנתונים ולהריץ קוד. הגרסאות שסוגרות אותה הן 15.0.66, 16.0.89 ו-17.0.3.
רכיב הרישוי של Fortra GoAnywhere MFT מפענח אובייקט ששולח לו מי שמחזיק חתימה מזויפת תקפה, והתוצאה עלולה להיות הרצת פקודות. אלה הגרסאות שסוגרות את החולשה.
בקשה אחת בנויה במיוחד אל ממשק ה-API של Cisco ISE מתקבלת כאילו הגיעה ממשתמש מורשה, בלי סיסמה ובלי הזדהות. הציון 10 מתוך 10 והחולשה כבר מנוצלת.
הגדרה שנשארה פתוחה ב-Adobe Experience Manager Forms מאפשרת לעקוף את מנגנוני ההגנה ולהריץ קוד, בלי הזדהות ובלי שמישהו ילחץ על דבר. הגרסה האחרונה שנפגעת היא 6.5.23.0.
הקוד שמקבל קריאות ל-Server Functions מפרסר את המטען מהבקשה בלי לאמת אותו, והתוצאה היא הרצת קוד לפני כל הזדהות. אלה הגרסאות של React ושל Next.js שצריך לעדכן.
חולשה ב-GitLab CE ו-EE אפשרה לפונה בלי חשבון לקרוא קבצים מהשרת עצמו דרך ה-API של הקומיטים. אלה שלוש גרסאות התיקון ומה כדאי לבדוק בהתקנה אחרי שמעדכנים.
הרשומה על החולשה ב-HPE OneView היא משפט אחד, אבל הציון 10.0, מודול ניצול פומבי והכניסה לקטלוג המנוצלות אומרים מספיק. אלה הגרסאות ומה לעשות.
בקשות HTTP מעוצבות אל ממשק הניהול של Cisco Secure Firewall Management Center עוקפות את ההזדהות ומגיעות להרצת סקריפטים בהרשאות root. הציון 10, והחולשה נכנסה לקטלוג המנוצלות ב-9 בספטמבר 2026.
תוקף בלי חשבון יכול לכתוב קובץ לכל נתיב בשרת הדואר של SmarterMail, ומשם להגיע להרצת קוד. הציון 10, קוד ניצול פורסם, וגרסת התיקון היא 100.0.9413.
בקשה אחת מהרשת, בלי חשבון ובלי קליק של אף אחד, מספיקה כדי להריץ קוד על חנות Adobe Commerce או Magento. החולשה כבר מנוצלת בשטח. אלה הגרסאות שברשימה ומה עושים היום.
בגרסאות N-central שלפני 2026.3.1.14 אפשר להריץ קוד על שרת הניהול מהרשת, בלי חשבון ובלי סיסמה. CISA מאשרת ניצול בפועל. אלה גרסת התיקון והצעדים לספק שירות.
חולשה בציון 10 מתוך 10 בכלי הגישה מרחוק ScreenConnect מאפשרת להיכנס לשרת בלי לעבור דרך מסך ההתחברות. היא מנוצלת בשטח, והגרסה שסוגרת אותה היא 23.9.8.
חולשה בציון מושלם ב-Dell RecoverPoint for Virtual Machines מאפשרת לתוקף שמכיר פרטי אימות מוטמעים להשיג הרשאות root. הגרסה המתקנת היא 6.0.3.1 HF1.
בדיקת האימות ב-Kestra השוותה את סוף הנתיב במקום את הנתיב כולו, וכל כתובת שנגמרת ב-configs עברה בלי הזדהות. הגרסאות המתקנות הן 1.0.45 ו-1.3.21.
חולשה בציון 10 בממשק ה-Work Place של SMA1000 מאפשרת לתוקף מהרשת, בלי חשבון, לגרום למכשיר לפנות בשמו למקומות שהוא עצמו חסום מהם. כך מתעדפים את הטיפול.
חולשה במנגנון ההתחברות המאוחדת של Quest KACE Systems Management Appliance מאפשרת לתוקף בלי פרטי אימות להתחזות למשתמש קיים ולהגיע לשליטה ניהולית מלאה. התיקונים כבר יצאו לחמישה ענפי גרסאות.
חולשת הרצת קוד מרחוק ב-Craft CMS נוגעת לשלושה ענפי גרסאות עד התיקונים 3.9.15, 4.14.15 ו-5.6.17. הציון 10 מתוך 10, והחולשה מנוצלת בפועל.
חולשה בתוסף LiteSpeed ל-cPanel שנוצלה בשטח במאי 2026 מאפשרת הסלמת הרשאות עד ל-root. יש פקודה אחת שבודקת אם השרת שלכם נפגע, וזאת הגרסה שסוגרת אותה.
חולשה שקיבלה ציון חומרה מקסימלי בתוסף JCE, אחד התוספים הנפוצים ב-Joomla, מאפשרת למי שאינו מחובר כלל להעלות קובץ PHP ולהריץ אותו על השרת. כך בודקים אם האתר שלכם חשוף ומה לעשות אחרי העדכון.
חולשה ב-Oracle HTTP Server ובתוסף ה-Proxy ל-WebLogic נכנסה לרשימת החולשות שמנוצלות בשטח. אלה הגרסאות המושפעות והעדכון שסוגר אותה.
דרך ה-endpoint של איפוס הסיסמה ב-Metabase אפשר להזריק פקודות למסד הנתונים ולקבל הרשאות מנהל בלי להזדהות. אלה הגרסאות שסוגרות את החולשה.
חולשה קריטית בציון 10 ב-Cisco ISE ו-ISE-PIC מאפשרת לתוקף מרוחק להריץ קוד בהרשאות root בלי להתחבר, והיא כבר מנוצלת בשטח. למי היא נוגעת ומה צריך לעדכן.
חולשה בציון 10 מתוך 10 בשרת הזהויות Cisco ISE מאפשרת לתוקף להריץ קוד ולהשיג הרשאות root בלי שום התחברות. כך בודקים אם הגרסה שלכם פגיעה ומה מעדכנים.
חולשה במערכת של אפל, שכבר נוצלה בהתקפה ממוקדת ומתוחכמת, מאפשרת לתוקף לפגוע במכשיר דרך קובץ תמונה זדוני. כך מעדכנים iPhone, iPad ו-Mac.
חולשה קריטית בציון 10 בגרסת ה-on-prem של VeloCloud Orchestrator מאפשרת לתוקף מרוחק להריץ קוד ולהשתלט על שרת הניהול, והיא כבר מנוצלת בפועל. מי מושפע ומה עושים עכשיו.
חולשה בתכונת ההסגר של שערי Cisco Secure Email מאפשרת לתוקף לא מזוהה להריץ פקודות בהרשאת root מרחוק. כך בודקים אם ההתקן מעודכן.
חולשה בתוסף iCagenda לניהול אירועים באתרי ג'ומלה מאפשרת לתוקף להעלות קובץ זדוני ולהריץ קוד על השרת. כך בודקים אם האתר חשוף ולאיזו גרסה לעדכן.
חולשה בתוסף Balbooa Forms לבניית טפסים באתרי ג'ומלה מאפשרת לתוקף לא מזוהה להעלות קובץ ולהריץ קוד על השרת. כך בודקים אם האתר חשוף ולאיזו גרסה לעדכן.
חולשה בתוסף בניית העמודים Page Builder CK לג'ומלה מאפשרת לתוקף לא מזוהה להעלות קובץ ולהריץ קוד על השרת. כך בודקים אם האתר חשוף ולאיזו גרסה לעדכן.
חולשה בתוסף הפופולרי SP Page Builder ל-Joomla מאפשרת לתוקף להעלות קובץ זדוני ולהריץ קוד על השרת, בלי להזדהות. היא מנוצלת בפועל וקיים עדכון.
תוקף עם גישה לרשת של נתב או שרת UniFi יכול לבצע בו שינויי מערכת בלי הרשאה, וזה כבר מנוצל בשטח. כך בודקים אם ציוד ה-UniFi שלכם מעודכן.
חולשה שכבר מנוצלת בשטח מאפשרת לתוקף ברשת של מכשיר UniFi לקרוא קבצים שאמורים להיות חסויים ולהגיע דרכם לחשבון במערכת. כך בודקים אם המכשיר שלכם מוגן.
חולשה חמורה שכבר מנוצלת בשטח מאפשרת לתוקף ברשת של מכשיר UniFi להריץ פקודות משלו על המכשיר. כך בודקים אם הציוד שלכם מוגן.
חולשה בממשק הניהול של Cisco Secure Firewall Management Center מאפשרת לתוקף לא מזוהה להריץ קוד ג'אווה בהרשאות root. היא מנוצלת בשטח.
חולשה באימות בין רכיבי Cisco Catalyst SD-WAN מאפשרת לתוקף לא מזוהה להשיג הרשאות ניהול. הציון הוא 10.0 והיא מנוצלת בשטח.
כתבות חדשות ישירות לתיבה. בלי ספאם, הסרה בקליק אחד בכל רגע.