מוצר בשם SiteGuard Server Edition מכיל חולשה שמאפשרת להריץ עליו פקודות של מערכת ההפעלה בהרשאות הגבוהות ביותר, root בלינוקס או SYSTEM בווינדוס. לפי הרשומה במאגר NVD, התוקף צריך להיות כבר על המכונה ולהחזיק בהרשאות כלשהן, ולכן הציון עומד על 8.5 ולא גבוה יותר. ב-20 באוקטובר 2026 נכנסה החולשה לקטלוג החולשות שמנוצלות בפועל של CISA, כלומר יש כבר מי שמשתמש בה.
מה החולשה?
תוכנות רבות צריכות להפעיל פקודות של מערכת ההפעלה כחלק מהעבודה השוטפת, למשל כדי לאסוף נתונים או להפעיל כלי חיצוני. כשהפקודה נבנית כמחרוזת שמורכבת גם מקלט של המשתמש, והקלט הזה אינו מנוקה, אפשר לתחוב לתוכו תווים שסוגרים את הפקודה המקורית ופותחים פקודה חדשה אחריה.
התוצאה היא שהפקודה של התוקף רצה במקום זו שהמתכנת התכוון אליה, ובאותן הרשאות בדיוק. לטכניקה הזאת קוראים OS command injection, הזרקת פקודות מערכת.
החלק המשמעותי כאן הוא דווקא ההרשאות. הרשומה אומרת שהפקודות רצות עם root או SYSTEM, החשבונות שאין מעליהם דבר במערכת. זה מה שהופך חולשה שמתחילה אצל משתמש מוגבל לשליטה מלאה במכונה.
הציון, 8.5 בשיטת CVSS בגרסה 4.0, משקף את שני הצדדים יחד: מצד אחד פגיעה גבוהה בסודיות, בשלמות ובזמינות, ומצד שני דרישה שהתוקף כבר יהיה על המכונה ויחזיק בהרשאות כלשהן.
מי מושפע?
כל מי שמריץ את SiteGuard Server Edition. הרשומה אינה מפרטת גרסאות, וההודעה על החולשה פורסמה גם במאגר החולשות היפני JVN וגם אצל היצרן עצמו.
ובישראל? המוצר יפני והמקורות עליו יפניים, והוא אינו מהשמות שרצים כאן בכל ארגון שני. רוב הקוראים אינם נוגעים בו כלל, ומי שכן מריץ אותו יודע זאת היטב.
יש כאן בכל זאת זווית שנוגעת לכולם. החולשה דורשת גישה מקומית, כלומר היא מעניינת תוקף שכבר הצליח להיכנס. חולשות מהסוג הזה הן השלב שבו חדירה קטנה הופכת להשתלטות על המכונה כולה, והן לרוב מקבלות פחות תשומת לב מחולשות שנפתחות מרחוק.
האם מנוצלת בפועל?
כן. ב-20 באוקטובר 2026 הוסיפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הרשימה שבה היא מרכזת חולשות שידוע כי תוקפים משתמשים בהן בשטח ולא רק במעבדה. הכנסה לקטלוג אינה תחזית אלא קביעה בדיעבד, על בסיס ניצול שכבר נראה.
לכל רשומה בקטלוג מוצמד תאריך יעד לתיקון בגופים הפדרליים האמריקאיים, וכאן הוא נקבע ל-23 באוקטובר 2026, שלושה ימים אחרי ההכנסה. החלון הקצר הזה הוא הסימן הברור ביותר למשקל שמייחסים לחולשה.
מה שהקטלוג אינו אומר הוא מי התוקפים, במי הם מכוונים ובאיזה היקף, וגם לא איך נראה הניצול עצמו. הפרטים האלה אינם מתפרסמים שם.
העמוד הזה עודכן בעקבות השינוי. בגרסה קודמת שלו נכתב שלא ידוע על ניצול בפועל, וזה היה המצב עד ה-20 באוקטובר.
מה עושים?
בדקו איזו גרסה של SiteGuard Server Edition רצה אצלכם, והשוו אותה לגרסה המתוקנת שמופיעה בהודעת היצרן. הרשומה במאגר NVD אינה נוקבת במספרי גרסאות, ולכן ההודעה הזאת היא המקור.
הרשומה המקבילה במאגר היפני JVN זמינה באנגלית ומרכזת את אותו מידע, למי שההודעה המקורית אינה נגישה לו.
מכיוון שהחולשה כבר מנוצלת, זה אינו עדכון שמחכה לחלון התחזוקה הבא. מי שאינו יכול להתקין אותו עכשיו, שיצמצם בינתיים את מי שיש לו חשבון או גישה מקומית למכונה שמריצה את המוצר. הניצול מחייב דריסת רגל על המכונה, וכל חשבון מיותר שם הוא נקודת פתיחה.
בדקו גם את הכיוון ההפוך: אם למכונה הזאת יש גישה למערכות נוספות ברשת, השתלטות עליה בהרשאות root אינה נעצרת בגבולות שלה.