מיקרוסופט תיקנה חולשה באופיס שמאפשרת לעקוף מנגנון אבטחה שאמור לחסום תוכן פעיל במסמכים שמקורם חיצוני. הציון שלה הוא 7.8, והיא נמצאת ברשימת החולשות המנוצלות בפועל.
מה החולשה?
אופיס מקבל החלטות אבטחה על סמך מאפיינים של הקובץ: מאיפה הוא הגיע, איזה סוג קובץ הוא, והאם מותר להריץ בו תוכן פעיל כמו מאקרו. ההחלטה הזאת היא מה שעומד בין מסמך שהגיע במייל לבין קוד שרץ על המחשב.
שם החולשה מתאר את הבעיה בדיוק: הסתמכות על קלט לא מהימן בהחלטת אבטחה. חלק מהמידע שעליו התוכנה מבססת את ההחלטה מגיע מהקובץ עצמו, כלומר מגורם שנשלט בידי מי שיצר אותו. תוקף שמסדר את המאפיינים האלה בצורה מתאימה גורם לאופיס להסיק שהמסמך בטוח יותר ממה שהוא.
התוצאה היא שהחסימה שהייתה אמורה לחול לא חלה, והמשתמש אינו רואה את האזהרה שהייתה מגיעה בדרך כלל.
הניצול דורש שתפתחו את המסמך. זאת חולשה שמסירה מחסום, לא כזאת שפורצת מרחוק.
מי מושפע?
משתמשי Microsoft Office 2016 ו-2019, מהדורות Office LTSC ו-Microsoft 365 Apps בגרסאות שלפני התיקון.
זה נוגע כמעט לכל משרד. אופיס מותקן בכל מקום, ומסמכים עוברים בין ארגונים ללא הרף, וזאת בדיוק הסיבה שחולשות מהסוג הזה שוות כל כך הרבה לתוקפים.
האם מנוצלת בפועל?
כן. ב-26 בינואר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים משתמשים בהן בשטח.
מה עושים?
עדכנו את אופיס. במהדורות Microsoft 365 העדכון מגיע אוטומטית, ובמהדורות הרישוי הקבוע הוא מגיע דרך עדכוני ווינדוס. בכל אחת מתוכנות אופיס אפשר לבדוק דרך תפריט קובץ ואז חשבון.
אל תאשרו הפעלת תוכן פעיל במסמך שלא ציפיתם לו, גם אם הרצועה הצהובה לא הופיעה. החולשה הזאת בדיוק מסירה את הרצועה הזאת, ולכן ההרגל שלכם הוא מה שנשאר.
בארגון, שקלו לחסום מאקרו במסמכים שמגיעים מהאינטרנט במדיניות מרכזית. זאת הגדרה שמנטרלת את רוב הערך המעשי של החולשות מהמשפחה הזאת.