סוכנות הסייבר האמריקאית החזירה בשנת 2026 לרשימת החולשות המנוצלות בפועל חולשה שפורסמה ב-2008. מדובר באחת החולשות המפורסמות בהיסטוריה של ווינדוס, זו שדרכה התפשטה תולעת קונפיקר. הכניסה המחודשת שלה לרשימה היא הסיפור כאן, לא החולשה עצמה.

מה החולשה?

שירות הרשת של ווינדוס אפשר למחשבים ברשת מקומית לשתף קבצים ומדפסות. כשמחשב מבקש קובץ, הוא שולח נתיב, והמערכת צריכה לפענח אותו לצורתו הסופית.

בשלב הפענוח הזה נמצאה החולשה. בקשה בנויה במיוחד גרמה לגלישה בזיכרון, ומשם להרצת קוד שהתוקף בחר, בלי סיסמה ובלי שמישהו יעשה דבר.

מה שהפך אותה למפורסמת הוא שהיא אפשרה תולעת: תוכנה שמדביקה מחשב, סורקת מהמחשב הזה את הרשת, ומדביקה לבד את הבא. לפי הרשומה במאגר NVD, החולשה נוצלה בשטח כבר באוקטובר 2008.

התיקון קיים משנת 2008. מערכת ההפעלה שהחולשה מתוארת בה, כמו ווינדוס XP וווינדוס 2000, אינה נתמכת שנים.

מי מושפע?

לפי הרשומה, ווינדוס 2000, XP, Server 2003 ו-Vista בגרסאות שלפני התיקון.

בפועל, מי שנוגע בזה היום הוא לא משתמש ביתי אלא ארגונים עם מערכות ישנות שממשיכות לרוץ: מכונה בקו ייצור שמופעלת על ידי מחשב XP, מערכת רפואית, בקר בבניין, עמדה שמריצה תוכנה שאין לה גרסה חדשה. אלה מחשבים שאיש לא מעדכן מפני שהם עובדים ומפני שאין להם תחליף.

האם מנוצלת בפועל?

כן, וזאת הנקודה. ב-20 במאי 2026 החולשה הזאת נכנסה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים משתמשים בהן בשטח.

הכנסה של חולשה בת יותר מעשור לרשימה הזאת אומרת דבר אחד: מישהו מצא שזה עדיין עובד. לא מפני שהתיקון נכשל אלא מפני שנשארו בעולם מספיק מכונות שמעולם לא קיבלו אותו. תוקפים סורקים אחרי מטרות ותיקות בדיוק כמו אחרי חדשות, ולפעמים ביתר הצלחה.

מה עושים?

אתרו מערכות ישנות שרצות אצלכם. זאת המשימה האמיתית כאן, ולא התקנת עדכון: העדכון קיים כבר שנים, ומי שחשוף היום חשוף מפני שהמכונה לא מנוהלת.

מכונה שאי אפשר לעדכן צריכה להיות מבודדת ברשת נפרדת, בלי גישה לאינטרנט ועם גישה מוגבלת מהרשת הפנימית. זאת ההגנה המעשית היחידה למערכת שאין לה תיקון.

אם המערכת כן יכולה לקבל עדכונים, ודאו שהיא מקבלת אותם. מחשב שרץ שנים בלי חיבור לשרת העדכונים נראה תקין מבחוץ.

ולבסוף, שווה לנצל את ההזדמנות לשאלה רחבה יותר: אילו מכונות בארגון מריצות מערכת הפעלה שיצאה משירות, ומה התוכנית לגביהן. חולשה מ-2008 שחוזרת לרשימה ב-2026 היא תזכורת שהשאלה הזאת לא נעלמת מעצמה.