מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.
חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.
חולשת בלבול טיפוסים במנוע הסקריפטים של ווינדוס מאפשרת לתוקף מרוחק להריץ קוד על המחשב, אם המשתמש פותח את התוכן הנכון. היא מנוצלת בשטח, ויש לה עדכון.
חולשה ב-Apache Tomcat מאפשרת לעקוף את הצפנת התעבורה בין שרתי אשכול, והיא נכנסה לרשימת החולשות המנוצלות בפועל. אלה הגרסאות שמתקנות.
חולשה בכמה דגמי מצלמות רשת של D-Link מאפשרת לתוקף לשלוף את סיסמת המנהל של המצלמה בלי להזדהות, רק דרך פנייה לכתובת אחת. כך בודקים אם הדגם שלכם ברשימה ומה מעדכנים.
חולשה במכשירי KNX המשמשים לאוטומציה של תאורה ומיזוג במבנים מאפשרת לתוקף ברשת לנעול אותם ולמחוק את הגדרתם. כך בודקים אם המערכת חשופה ומה עושים.
חולשה במערכת Cisco Catalyst SD-WAN Manager חושפת קובץ שמכיל סיסמה של חשבון שירות פנימי, ומאפשרת להשתמש בה. היא מנוצלת בשטח.
חולשה ב-ColdFusion 2023.6 ו-2021.12 ומטה מאפשרת לקרוא קבצים מהשרת, אך רק אם פאנל הניהול נגיש מהאינטרנט. התנאי הזה הוא גם ההקלה המיידית, וזה העדכון שסוגר.
חולשה משנת 2015 בספריית libuser, שנוספה באוגוסט 2026 לקטלוג החולשות המנוצלות בפועל, מאפשרת למשתמש מקומי להשחית את הקובץ /etc/passwd. אלה הגרסאות המתוקנות והמערכות שברשימה.
חולשת מעבר נתיבים ב-TeamCity של JetBrains מאפשרת למי שאינו מחובר לבצע חלק מוגבל מפעולות הניהול. התיקון נמצא בגרסה 2023.11.4, והחולשה מנוצלת בפועל.
מסנן נתיבים באנדרואיד שנועד להסתיר תיקיות רגישות נכשל בגלל הדרך שבה הוא משווה תווים, ואפליקציה מותקנת יכולה לעקוף אותו. החולשה מנוצלת בפועל ונוגעת לאנדרואיד 12 עד 15.
אפשרות החלפת האייקון בממשק הניהול של Versa Director מאפשרת למי שהתחבר כמנהל ברמת הספק להעלות קובץ זדוני שמתחזה לתמונה. הגרסאות בטווח הן 21.2.2 עד 22.1.3, והחולשה מנוצלת בפועל מאוגוסט 2024.
במצלמות PT30X של PTZOptics, בקושחה שלפני 6.3.40, הערך שמוזן בשדה כתובת שרת הזמן נכנס לפקודה שהמצלמה מריצה. בשרשור עם חולשה נוספת זאת הרצת קוד בלי הזדהות.
חולשה בקושחת חמישה דגמי מצלמות Reolink עד גרסה 1.0.227 מאפשרת למי שנכנס לממשק הניהול להריץ פקודות על המצלמה בהרשאות root. היא רשומה כמנוצלת בפועל מדצמבר 2024.
חולשה בקושחת מצלמת האבטחה Reolink RLC-410W מאפשרת למי שמגיע לממשק ההגדרות להריץ פקודות על המצלמה דרך שדה ה-DDNS. היא מנוצלת בפועל, וכך בודקים את הקושחה.
חולשת הזרקת פקודות ב-PRTG Network Monitor מאפשרת למי שיש לו הרשאות מנהל בקונסולה להריץ פקודות על השרת ועל הציוד. הרשומה מונה שני טווחי גרסאות, והיעד הוא 21.2.68.
בטלפוני Mitel מסדרות 6800 ו-6900 עד גרסת קושחה 6.4.0.136, מי שיש לו הרשאות ניהול יכול להריץ פקודות על הטלפון עצמו. אלה הדגמים, וזה מה שבודקים.
פנייה שמכילה רצף של שתי נקודות ולוכסן מוציאה את שרת Output Messenger מהתיקייה שיועדה לו ומגיעה לקבצי תצורה. מיקרוסופט מתארת ניצול כיום אפס, ואלה הגרסה המתקנת והבדיקות.
כלי ניהול מסדי הנתונים Adminer, בגרסאות שלפני 4.7.9, מאפשר לתוקף לגרום לשרת עצמו לשלוח בקשות אל יעדים שהוא בוחר. החולשה נכנסה לקטלוג המנוצלות של CISA.
שער הגישה ArrayOS AG מאפשר הזרקת פקודות, ולפי הרשומה תוקפים ניצלו אותה בשטח מאוגוסט עד דצמבר 2025. גרסת התיקון היא 9.4.5.9.
חולשה בממשק הדואר Roundcube מאפשרת לקוד שמוטמע בקובץ SVG לרוץ בדפדפן של מי שפותח את ההודעה. הגרסאות המתקנות הן 1.5.12 ו-1.6.12.
חולשה ב-ThreatSonar Anti-Ransomware של TeamT5 מאפשרת למי שכבר מחזיק הרשאות ניהול להעלות קובץ ולהריץ דרכו פקודות מערכת. הגרסה המתקנת היא 3.5.0.
העלאת ארכיון ZIP מיוחד לשרת SimpleHelp בגרסאות עד 5.5.7 מפזרת קבצים אל מחוץ לתיקיית היעד ומאפשרת הרצת קוד על השרת. הגרסה שסוגרת היא 5.5.8.
רכיב הסנכרון בין סביבות במערכת ניהול התוכן Kentico Xperience מקבל נתיבים שהוא אינו בודק, ומשתמש מזוהה יכול דרכו להעלות קובץ ולהריץ קוד על השרת. הגרסאות עד 13.0.178 חשופות.
חולשה ב-Cloud Services Appliance של Ivanti מאפשרת למי שמחזיק בהרשאות מנהל להריץ פקודות על המכשיר. גרסה 4.6 עד Patch 518 חשופה, והחולשה מנוצלת בשטח.
חולשת פענוח נתונים בשרתי SharePoint מקומיים אפשרה הרצת קוד, ולמרות שהיא דורשת הרשאות גבוהות היא נוצלה בשטח. אלה המהדורות המושפעות ומה בודקים אחרי העדכון.
מנהל מזוהה בקונסולת הניהול של Ivanti CSA יכול היה להפוך את ההרשאות שלו להרצת קוד על המכשיר עצמו. הגרסה שסוגרת את החולשה היא 5.0.2, והיא נוצלה בשטח.
חולשה בפונקציית ייבוא התיבות של Zimbra אפשרה למשתמש בעל הרשאות ניהול להעלות ארכיון ZIP ולשתול דרכו קבצים במקומות אחרים בשרת. אלה העדכונים שסוגרים אותה.
חולשה בממשק הניהול של התקני SMA100 של SonicWall מאפשרת למי שמחובר כמנהל להריץ פקודות על מערכת ההפעלה של ההתקן. התיקון קיים מקושחה 10.2.1.9-57sv ואילך.
חולשה ברכיב ה-API של Ivanti EPMM אפשרה לתוקף מזוהה עם הרשאות גבוהות להריץ קוד על השרת המרכזי, והיא מנוצלת בשטח. כך מזהים את הגרסאות הפגיעות ומעדכנים.
חולשה בממשק הקלאסי של Zimbra מאפשרת לתוקף להריץ סקריפט בדפדפן הקורבן דרך הודעת דואר בנויה. היא מנוצלת בשטח, וכך מעדכנים את השרת.
חולשה בחומת האש היישומית FortiWeb מאפשרת לתוקף מזוהה להריץ פקודות מערכת על ההתקן. היא מנוצלת בשטח, וכך בודקים אם ההתקן מעודכן.
חולשה ב-Ivanti EPMM מאפשרת למשתמש מזוהה בעל הרשאות ניהול להריץ קוד על השרת שמנהל את מכשירי הארגון. היא מנוצלת בשטח.
חולשה בנתב D-Link DIR-823X מאפשרת הרצת פקודות על המכשיר, והיא מנוצלת בקמפיין של תוכנת Mirai. מה בעלי הנתב צריכים לעשות.
חולשה בממשק הניהול של התקני SonicWall SMA1000 מאפשרת למי שמחובר כמנהל להריץ פקודות מערכת. היא מנוצלת בשטח לצד חולשה חמורה יותר באותו התקן.
התקן USB שמדווח על עצמו באורך קטן מהצפוי גורם למנהל השמע של לינוקס לקרוא זיכרון מחוץ לתחום. החולשה בקטלוג המנוצלות של CISA, וכאן הגרסאות שסוגרות אותה.
מוצרי שיתוף הקבצים של Gladinet הצפינו עם מפתחות זהים בכל התקנה, ומי שמכיר אותם יכול לשלוף קבצים מהשרת בלי להתחבר. החולשה מנוצלת בפועל, והתיקון הוא גרסה 16.12.10420.56791.
חולשה ב-Windows Storage מאפשרת לתהליך בהרשאות רגילות למחוק או לדרוס קבצים של המערכת דרך קישור מפוברק. היא מנוצלת בשטח, ואלה בניות התיקון.
חולשה ברכיב HGFS של VMware ESXi, Workstation ו-Fusion מאפשרת לדלות זיכרון מתוך התהליך שמריץ מכונה וירטואלית. היא מנוצלת בשטח, ואלה הגרסאות המתוקנות.
חולשת קריאת קבצים בממשק הניהול של PAN-OS, שמנוצלת בשטח, חושפת קבצים מתוך חומת האש. אלה גרסאות התיקון וההגבלה שמקטינה את החשיפה.
חולשה ב-Ivanti Connect Secure שכבר נוצלה בשטח מאפשרת למי שהשיג דריסת רגל על המכשיר להגיע להרשאות root. אלה הגרסאות שבטווח, וזה מה שצריך לעדכן ולהחליף אחרי העדכון.
חלון זמן קצר בין בדיקה לשימוש בליבת Windows אפשר לתוכנה עם הרשאות רגילות לעלות לרמת המערכת. החולשה מנוצלת בפועל, ואלה הבניות שסוגרות אותה.
ארכיון שהורדתם מהאינטרנט נושא סימון אזהרה, אבל בגרסאות 7-Zip שלפני 24.09 הקבצים שיוצאים ממנו נפתחים בלי הסימון ובלי אזהרה. החולשה מנוצלת בשטח.
חולשה בתת מערכת Win32 של גרעין Windows מאפשרת לתוקף שכבר מריץ קוד במחשב להסלים להרשאות ליבה. נוגעת בעיקר למערכות ותיקות, וכך סוגרים אותה.
חולשה ב-Microsoft Management Console מאפשרת לתוקף לעקוף מנגנון הגנה של Windows אחרי שהמשתמש פותח תוכן שהוכן לכך. כבר מנוצלת בפועל, וכך מוודאים שהמחשב מעודכן.
חולשה בדרייבר AFD של ווינדוס, שנוספה באוגוסט 2026 לרשימת החולשות המנוצלות, מאפשרת לתוקף מקומי להגיע להרשאות ליבה. כך בודקים אם הבנייה שלכם מעודכנת.
חולשת מרוץ תהליכים בליבת Windows, שמנוצלת בפועל, מאפשרת לתוקף מקומי להסלים להרשאות גבוהות. הניצול דורש תזמון מדויק. כך בודקים שהעדכון מותקן.
Dirty COW היא חולשה ותיקה בליבת לינוקס שאפשרה למשתמש רגיל להפוך למנהל המערכת. נוצלה בפועל, ותוקנה בגרסה 4.8.3. כך בודקים אם אתם מוגנים.
חולשה ב-Plex Media Server שמנוצלת בפועל מאפשרת למי שאינו מחובר כלל לשרת להפעיל פונקציות פנימיות של תוספים ולהעביר להן פרמטרים משלו. התיקון בגרסה 1.43.3.10861, ועד אז כדאי לכבות גישה מרחוק.
חולשה בכל גרסאות jQuery שלפני 3.5.0 מאפשרת הרצת קוד בדפדפן גם אחרי סינון ה-HTML. היא מנוצלת בפועל, ויושבת גם בתוך Drupal ובמוצרי Oracle.
חולשה ב-Craft CMS מאפשרת לגולש שאינו מזוהה לכתוב תוכן שהוא בחר, למשל קוד PHP, לקובץ סשן במקום ידוע על השרת. למה בציון 6.9 היא בכל זאת הגיעה לקטלוג המנוצלות.
באג בשירות ה-SSH של RouterOS אפשר ללקוח שלא הזדהה כלל לשלוח פקודות לנתב ולהוציא ממנו את קובץ התצורה, ו-CISA כבר סימנה אותו כמנוצל בפועל. גרסאות התיקון הן 6.49.21, 7.23.4 ו-7.24.2.
כתבות חדשות ישירות לתיבה. בלי ספאם, הסרה בקליק אחד בכל רגע.