בקר תעשייתי הוא המחשב הקטן שמפעיל בפועל את המשאבה, המסוע או הברז. הוא מקבל את התוכנית שלו מתוכנת הנדסה שרצה על מחשב, ולפני שהוא מקבל אותה הוא אמור לוודא שהתוכנה בצד השני היא באמת מה שהיא טוענת. החולשה הזאת, שקיבלה 9.8 מתוך 10, מאפשרת לעקוף את הווידוא הזה מהרשת ובלי שום פרטי אימות. ב-5 במרץ 2026 היא נכנסה לקטלוג החולשות שידוע שתוקפים מנצלים בפועל.
מה החולשה?
תוכנות ההנדסה של Rockwell, Studio 5000 Logix Designer ו-RSLogix 5000, מוכיחות את זהותן לבקר באמצעות מפתח. הרעיון פשוט: רק מי שמחזיק במפתח הנכון הוא תחנת הנדסה לגיטימית, וכל השאר לא יעברו את הבדיקה.
הבעיה היא שהמפתח הזה אינו מוגן מספיק טוב. לפי התיאור, תוקף שאין לו את המפתח ואינו מזוהה כלל יכול בכל זאת לעקוף את מנגנון הווידוא ולהזדהות מול הבקר. מבחינת הבקר, מה שמתחבר אליו הוא תחנת הנדסה תקינה. הסיווג המקצועי הוא פרטי אימות שאינם מוגנים כראוי.
וכאן ההבדל בין חולשה במערכת מידע לבין חולשה בבקר. במערכת מידע התוצאה היא מידע שדלף. בבקר, מי שמצליח להזדהות נמצא במקום שממנו נקבע מה הציוד הפיזי יעשה בפועל. הרשומה מסמנת את שלושת סוגי הנזק, סודיות שלמות וזמינות, כגבוהים, והתקיפה מגיעה דרך הרשת בלי הרשאות מוקדמות ובלי שנדרשת פעולה של מפעיל.
מי מושפע?
בצד התוכנה: RSLogix 5000 בגרסאות 16 עד 20, Studio 5000 Logix Designer בגרסה 21 ומעלה, ו-FactoryTalk Services Platform מגרסה 2.10 ומעלה.
בצד החומרה, משפחות הבקרים שמוזכרות ברשומה הן CompactLogix בסדרות 1768, 1769, 5370, 5380 ו-5480, ControlLogix בסדרות 5550, 5560, 5570 ו-5580, DriveLogix 5560, 5730 ו-1794-L34, Compact GuardLogix 5370 ו-5380, GuardLogix 5570 ו-5580, ו-SoftLogix 5800.
זה לא ציוד ביתי, וכדאי לומר את זה בפירוש. אם אין לכם ארון בקרה, אתם לא ברשימה. מי שכן צריך לקרוא הלאה הם מפעלים, מתקני מים ואנרגיה, מערכות בקרת מבנים ובתי חולים, כלומר כל מקום שבו יש רצפת ייצור או תשתית פיזית שמישהו מתכנת. בישראל אלה סביבות שמפעילות ציוד של היצרן הזה באופן שגרתי.
האם מנוצלת בפועל?
כן. ב-5 במרץ 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שיש עליהן ראיה לניצול ולא רק ציון חומרה. המועד לסגירה בגופים הפדרליים נקבע ל-26 במרץ 2026.
הרשומה עצמה פורסמה במרץ 2021. חמש שנים חלפו עד שהיא נכנסה לקטלוג, וזה מתיישב עם האופן שבו סביבות תעשייתיות מתנהגות: ציוד שמותקן שם נשאר במקומו הרבה מעבר למחזור החיים של ציוד משרדי, ותוקף שמחפש בקרים שלא טופלו מוצא אותם גם אחרי חמש שנים.
מה עושים?
הדבר הראשון שצריך להבין כאן הוא מה שאין. הרשומה לא מציינת גרסה מתוקנת שסוגרת את החולשה, מפני שהבעיה נמצאת במנגנון הווידוא עצמו. לכן ההגנה המעשית היא ברמת הרשת ולא בעדכון תוכנה.
ודאו שאף בקר אינו נגיש מהאינטרנט. זאת הבדיקה הראשונה ולא האחרונה, כי בקר שאפשר להגיע אליו מבחוץ הוא בדיוק התרחיש שהציון 9.8 מתאר.
הפרידו את רשת הבקרה מרשת המשרד. ככל שפחות מחשבים יכולים בכלל לפתוח חיבור אל הבקרים, כך קטן מספר העמדות שתוקף צריך להשיג כדי להגיע אליהם. גישה מרחוק לצורכי תחזוקה צריכה לעבור דרך VPN ולא להישאר פתוחה כברירת מחדל.
עברו על ההנחיות של CISA לחולשה הזאת והשוו אותן למצב בשטח אצלכם. שם מפורטות ההמלצות של היצרן לפי סוג הבקר.
ולבסוף, כדאי לנטר הורדות של תוכניות אל הבקרים. חולשה שגורמת לחיבור זדוני להיראות תקין לא תיתפס בבדיקת הרשאות, אבל היא כן משאירה סימן: תוכנית שהשתנתה במועד שאף אחד לא תכנן ואיש מהצוות לא מזהה.