SimpleHelp הוא כלי תמיכה מרחוק: טכנאי מתחבר דרכו למחשב של מישהו אחר ומטפל בו. בגרסאות 5.5.7 ומטה, טכנאי שהוגדר עם הרשאות מוגבלות יכול לייצר לעצמו מפתח API רחב הרבה יותר ממה שמגיע לו, ומשם להסלים עד לתפקיד מנהל השרת. הציון הוא 9.9 מתוך 10, וב-24 באפריל 2026 החולשה נכנסה לקטלוג החולשות המנוצלות של CISA.

מה החולשה?

מפתח API הוא מחרוזת ארוכה שתוכנה משתמשת בה כדי להזדהות מול שרת בלי שאדם יקליד סיסמה. כשמערכת מנפיקה מפתח כזה, היא אמורה לחתוך אותו לפי מי שביקש: מפתח שנוצר בידי משתמש מוגבל אמור לשאת בדיוק את אותן מגבלות.

הבדיקה הזאת חסרה כאן. הטכנאי מבקש מפתח ומקבל מפתח שיכול יותר ממנו. אין בזה שום דבר מתוחכם, לא צריך לשבור הצפנה ולא לנצל באג בזיכרון, רק להשתמש בממשק כפי שהוא מגיב.

מכאן ההסלמה. עם מפתח בהרשאות רחבות אפשר לבצע פעולות ששמורות למנהל, ובכללן להגיע לתפקיד מנהל השרת עצמו. הווקטור מסמן שינוי scope, כלומר הנזק אינו נעצר ברכיב שנשבר. שרת תמיכה מרחוק מחובר לכל המחשבים שהוא מטפל בהם, ומי שמנהל אותו מגיע אליהם.

מי מושפע?

כל התקנה של SimpleHelp בגרסה 5.5.7 או ישנה יותר. התיקון הוא 5.5.8.

מי שמפעיל שרת כזה בישראל הוא בדרך כלל בית תוכנה, ספק שירותי מחשוב, או מחלקת תמיכה של ארגון בינוני. הגולש הפרטי אינו מתקין אותו, אבל הוא בהחלט עלול להיות בצד השני של החיבור, כלומר המחשב שהטכנאי מתחבר אליו.

נקודה שקל לפספס: החולשה הזאת אינה מתחילה מהאינטרנט הפתוח אלא מבפנים, ממישהו שכבר יש לו חשבון טכנאי. זה יכול להיות עובד, קבלן משנה, או מי שהשיג את פרטי האימות של אחד מהם.

האם מנוצלת בפועל?

כן. ב-24 באפריל 2026 הוסיפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV, רשימת החולשות שידוע כי תוקפים עושים בהן שימוש בפועל. המועד לטיפול שנקבע לגופים הפדרליים היה 8 במאי 2026.

הרשומה פורסמה ב-NVD בינואר 2025, ולכן חלפה יותר משנה בין הפרסום לכניסה לקטלוג. פרטי המחקר שמאחוריה מופיעים בפרסום של חברת Horizon3.

מה עושים?

1. בדקו את גרסת השרת. כל דבר עד 5.5.7 ועד בכלל חשוף.
2. עדכנו ל-5.5.8 או לגרסה חדשה יותר. SimpleHelp מתעדת את העדכון.
3. אחרי העדכון, בטלו את כל מפתחות ה-API הקיימים והנפיקו חדשים. זו הפעולה שמדלגים עליה, והיא החשובה כאן: מפתח שנוצר עם הרשאות מוגזמות לפני העדכון ממשיך לעבוד גם אחריו.
4. עברו על רשימת המשתמשים בשרת ועל התפקידים שהוגדרו להם. חשבון של טכנאי שעזב, או של קבלן שהפרויקט שלו הסתיים, הוא בדיוק נקודת הפתיחה שהחולשה דורשת.