חולשה בגרעין של Windows מאפשרת לתוקף שכבר הצליח להריץ קוד במחשב, ברמת משתמש מוגבל, לעלות לרמת ההרשאות הגבוהה ביותר במערכת. היא בולטת בכך שהיא נוגעת בעיקר לגרסאות Windows ותיקות, וזה בדיוק מה שהופך אותה לרלוונטית: אלה המערכות שנוטות להישאר בלי עדכון. מיקרוסופט מדווחת שהיא מנוצלת בפועל.
מה החולשה?
הרכיב הפגיע הוא תת מערכת Win32 של גרעין Windows, השכבה שמתרגמת בקשות של תוכנות לפעולות שהמערכת מבצעת בפועל. הבאג הוא מסוג use after free, מצב שבו התוכנה ממשיכה להשתמש באזור זיכרון שהיא כבר שחררה. תוקף שמצליח להשתלט על מה שנכתב לאותו אזור לאחר השחרור יכול לגרום לגרעין להריץ את הקוד שלו.
קוד שרץ בגרעין רץ בהרשאות הגבוהות ביותר במערכת, כלומר בלי המחסומים שחלים על תוכנה רגילה. מכאן שהחולשה אינה נקודת הפריצה הראשונה אלא הצעד השני: התוקף צריך כבר להיות על המחשב עם הרשאות בסיסיות, ומשם היא מעניקה לו שליטה מלאה. מדד מורכבות התקיפה כאן גבוה, ולכן הציון עומד על 7.0 מתוך 10.
מי מושפע?
בשונה מחולשות Windows אחרות מאותו עדכון, רשימת המערכות כאן צרה ומוטה לוותיקות: Windows 10 בגרסאות 1507 ו-1607, Windows Server 2016, וכן Windows Server 2008 R2 ו-Windows Server 2012 R2. בישראל מדובר בעיקר בשרתים ובתחנות שנשארו מאחור, מערכות שממשיכות להריץ יישום ישן שאי אפשר לשדרג. דווקא שם הסיכון מצטבר, כי מערכת שלא מקבלת עדכונים באופן שוטף אוגרת חולשות פתוחות.
האם מנוצלת בפועל?
כן. החולשה נכנסה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים מנצלים בשטח, ב-11 במרץ 2025, עם מועד תיקון מחייב לגופים הפדרליים ב-1 באפריל. חולשת הסלמת הרשאות שמנוצלת בשטח מעידה בדרך כלל שהתוקפים כבר מחזיקים דרך להגיע אל המחשב, והיא זו שהופכת את הגישה הזו לשליטה.
מה עושים?
התקינו את עדכון האבטחה של מרץ 2025 על המערכות הרלוונטיות. ב-Windows 10 בגרסה 1607 וב-Windows Server 2016 העדכון מביא לבנייה 10.0.14393.7876, וב-Windows 10 בגרסה 1507 לבנייה 10.0.10240.20947. את מספר הבנייה אפשר לראות בהרצת winver.
על שרתי Windows Server 2008 R2 ו-Windows Server 2012 R2 בדקו במפורש שהעדכון הוחל, ואל תסתמכו על עדכון אוטומטי. מערכות בגיל הזה נמצאות לעיתים במסלול עדכונים מוגבל, ולכן ההתקנה בהן צריכה להיות מאומתת ידנית.
אם יש בסביבה מערכת שאי אפשר לעדכן, צמצמו את מי שיכול להריץ עליה קוד ולהתחבר אליה. חולשה שדורשת דריסת רגל מקומית נחלשת מאוד כשמספר המשתמשים והשירותים על אותה מכונה קטן.