מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.
חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.
מתג Arista EOS שמוגדר לפרק מנהרות VXLAN או GRE אינו בודק באיזה סוג מנהרה מדובר, ולכן מכניס פנימה גם תעבורה שלא הייתה אמורה להיכנס. החולשה דווחה כמנוצלת בשטח, וכך בודקים אם ההגדרה קיימת אצלכם.
חולשה ב-PAN-OS מאפשרת למי שכבר מחזיק הרשאות מנהל בממשק הניהול לבצע פעולות על חומת האש עם הרשאות root. אלה הגרסאות המתוקנות ומה לבדוק בשרת שכבר היה חשוף.
חולשה בממשק הניהול של הנתבים העסקיים DrayTek Vigor2960 ו-Vigor300B אפשרה לתוקף לא מזוהה להריץ פקודות מרחוק, וקוד הניצול פומבי. כך מעדכנים לגרסה 1.5.1.5.
ה-endpoint שבודק תקינות של קובץ CI ב-GitLab אפשר לתוקף בלי חשבון לגרום לשרת לשלוח בקשות בשמו. גרסאות התיקון הן 14.3.6, 14.4.4 ו-14.5.2.
חולשה בשרתי GitLab מגרסה 10.5 מאפשרת לתוקף בלי חשבון לנצל את מנגנון ה-webhook כדי להגיע לשירותים פנימיים. גרסאות התיקון הן 13.6.7, 13.7.7 ו-13.8.4.
חולשה ב-Junos OS מאפשרת לתוקף שהגיע ל-shell של הנתב להזריק קוד לליבת המערכת. הציון 6.7 בלבד, והיא בכל זאת בקטלוג המנוצלות, ואלה גרסאות התיקון לכל ענף.
שרת הניהול של Apex One בהתקנה מקומית מאפשר למי שכבר השיג עליו הרשאות ניהול לשתול קוד ולשלוח אותו לסוכנים שבעמדות. אלה הגרסאות שסוגרות את החולשה ומה כדאי לבדוק בשרת.
חולשה ב-BeyondTrust Privileged Remote Access ו-Remote Support מאפשרת למי שכבר מחזיק הרשאות ניהול להריץ פקודות על השרת עצמו. היא מנוצלת בפועל מינואר 2025.
חולשה בקונסולת הניהול של התקני SonicWall SMA1000 מאפשרת לתוקף עם גישה קיימת להסלים הרשאות. כך בודקים אם הקושחה מעודכנת.
בגרסאות Starlette שלפני 1.0.1, כותרת Host פגומה גורמת לנתיב שהקוד רואה להיות שונה מהנתיב שנתבקש בפועל, ובדיקות הרשאה שמסתמכות עליו נעקפות. כך מעדכנים ומה לבדוק בקוד.
החולשה במסד הנתונים של Ivanti CSA לא חשפה מידע, אבל אפשרה למנהל מזוהה לשנות ולמחוק בו נתונים. היא תוקנה בגרסה 5.0.2 ונוצלה בשטח.
רכיב התצוגה הישן של אינטרנט אקספלורר, שעדיין נמצא בתוך Windows, אפשר לתוקף להזריק תוכן משלו ולחשוף מידע. די היה בפעולה אחת של המשתמש, והחולשה נוצלה בשטח.
מיקרוסופט קראה לחולשה NTLM Hash Disclosure Spoofing ולא פירטה איך היא עובדת. מה שכן ידוע: היא נוצלה בשטח מיום הפרסום, ואלה מספרי ה-build שסוגרים אותה.
סיסקו הודיעה שלא תשחרר תיקון לחולשה בנתבי RV הישנים שלה, שכבר מנוצלת בשטח. אלה הדגמים המושפעים והמעקף שהיצרן מציע במקום.
חולשה ב-NTLM של ווינדוס גורמת למחשב לפנות לשרת של תוקף ולהזדהות מולו אוטומטית. קוד ניצול פומבי כבר קיים, והתיקון יצא במרץ 2025.
חולשת הזרקת פקודות בהתקני SMA100 של SonicWall, שתוקנה כבר ב-2021, נרשמה ב-2025 כמנוצלת בשטח. זה מה שזה אומר על ציוד שלא עודכן.
חולשה ב-FortiOS משתמשת במפתח הצפנה קבוע וזהה בכל המכשירים, כך שכל מי שמשיג קובץ גיבוי יכול לחלץ ממנו סיסמאות. היא כבר מנוצלת, וזה מה שצריך לעשות.
חולשה בשרת ה-VPN של Cisco ASA ו-FTD מאפשרת לתוקף לא מזוהה להגיע לכתובות שאמורות להיות חסומות ללא התחברות. היא נוצלה בשטח לצד חולשה חמורה יותר.
חולשה בשרת הניהול של הנתב הביתי TP-Link TL-WR841N מאפשרת לתוקף באותה רשת לחלץ פרטי אימות שמורים בלי סיסמה. כך בודקים אם הנתב שלכם חשוף ומה עושים.
חולשה בממשק הווב של Cisco Catalyst SD-WAN Manager מאפשרת למשתמש מזוהה ליצור או לדרוס כל קובץ במערכת ההפעלה. היא מנוצלת בשטח.
חולשה בתוכנת Cisco Catalyst SD-WAN מאפשרת למשתמש בעל הרשאות ניהול לקרוא מידע רגיש ממערכת ההפעלה שמתחת. היא מנוצלת בשטח.
חולשה בשרתי SharePoint נובעת מבדיקת קלט לקויה ומאפשרת לתוקף לא מזוהה לבצע התחזות. היא נמצאת ברשימת החולשות המנוצלות, ויש תיקון.
חולשה בשרתי SharePoint מאפשרת לתוקף לא מזוהה להתחזות ולשלוח בקשות כאילו הגיעו ממשתמש לגיטימי. היא מנוצלת בשטח, והתיקון קיים.
בעיה בניהול ה-cookies ב-Safari אפשרה לתוכן אינטרנט זדוני להריץ סקריפט בהקשר של אתר אחר, ולפי אפל היא כבר נוצלה במחשבי Mac עם מעבד Intel. הציון 6.3, והתיקון בגרסאות 18.1.1 ו-17.7.2.
חולשה ברכיב Remote Access Connection Manager של ווינדוס מאפשרת לקוד מקומי להקריס את השירות. אין פגיעה במידע, אבל היא מנוצלת בשטח.
בממשק הדואר Roundcube, בגרסאות שלפני 1.5.7 ו-1.6.7, הודעה שמכילה קובץ SVG בנוי במיוחד מריצה קוד בתוך תיבת הדואר של מי שפתח אותה. היא מנוצלת בפועל.
כותרת של הזמנת יומן בהודעת דואר ל-Zimbra לא נבדקה כראוי, והקוד שהוטמע בה רץ בסשן של מי שהציג את ההודעה. הגרסאות הסוגרות הן 10.0.7 ו-P39 לענף 9, ואלה הצעדים.
חולשה בשער הדואר Libraesva ESG מאפשרת להריץ פקודות דרך קובץ מצורף דחוס שנשלח בדואר. אלה הגרסאות המתקנות בכל אחד מששת קווי המוצר.
די בפתיחת הודעה בממשק הקלאסי של Zimbra כדי שקוד של התוקף ירוץ בתוך תיבת הדואר של הקורא. החולשה כבר מנוצלת, ואלה הגרסאות שסוגרות אותה.
החולשה בדף ההתחברות של WebVPN במכשירי Cisco ASA פורסמה ב-2014 ונוספה ב-2024 לרשימת החולשות המנוצלות של CISA. כך בודקים אם המכשיר שלכם עדיין מגיש את הדף הזה לאינטרנט.
חולשה ב-iOS וב-iPadOS מאפשרת למי שמחזיק מכשיר נעול לכבות את מצב ה-USB המוגבל. אפל מדווחת על ניצול בתקיפה ממוקדת, ואלה הגרסאות שסוגרות אותה.
חולשה ב-FortiOS, ב-FortiProxy, ב-FortiPAM וב-FortiSwitchManager מאפשרת למי שכבר מחזיק חשבון ניהול לכתוב ולמחוק קבצים במערכת, ו-CISA מדווחת על ניצול בפועל. אלה גרסאות התיקון לכל קו מוצר.
חולשה ב-FortiOS, שמנוצלת בפועל, מאפשרת לתוקף שכבר פרץ את מכשיר ה-Fortinet לעקוף תיקון קודם ולהמשיך לחלץ מידע רגיש. רלוונטית לארגונים. כך מעדכנים.
חולשה בליבת וורדפרס מאפשרת הזרקת SQL כשתוסף או תבנית מעבירים אליה קלט לא מסונן. היא גם החוליה השנייה בשרשרת שמובילה להשתלטות על האתר.
הפרמטר PmSess1 בדף timeoutWarning.asp ב-VeraCore מגיע למסד הנתונים בלי סינון, ומאפשר גם למי שלא התחבר להריץ שאילתות. הציון 5.8, והיא בכל זאת בקטלוג המנוצלות.
חולשה בשירות ה-Remote Access VPN של Cisco ASA ו-FTD מאפשרת לתוקף לא מזוהה למצות את משאבי המכשיר בעזרת בקשות אימות רבות ולהשבית את החיבור מרחוק. לעיתים נדרשת הפעלה מחדש כדי להחזירו.
חולשה מ-2024 שעוקפת את הגנת Pointer Authentication במכשירי אפל נרשמה ב-4 בנובמבר 2026 כמנוצלת בפועל. מי עדיין חשוף לה, ומה גרסאות התיקון באייפון, במחשב ובשעון.
חולשה בפונקציית בדיקת סיסמת המערכת של AhsayCBS בגרסאות עד 10.3.2 מאפשרת לתוקף מרוחק לעקוף את האימות דרך פרמטר אחד. היא נוספה באוקטובר 2026 לרשימת החולשות המנוצלות בפועל, והעדכון לפי הרשומה הוא 10.3.4.
הרכיב בליבת לינוקס שמטפל במקלדות ובעכברים הקצה חוצץ ולא איפס אותו, וכך תשובה בנויה מההתקן יכולה להוציא שאריות מזיכרון הליבה. אלה גרסאות הליבה שסוגרות את הבאג.
אפליקציה זדונית יכולה לגרום לכיבוי לא צפוי של מכשירי אפל או לכתוב לזיכרון הקרנל. הציון הוא 5.5 בלבד, אבל החולשה נמצאת ברשימת החולשות שתוקפים מנצלים.
חולשה במערכת הקבצים NTFS של Windows מאפשרת לחשוף מידע מאזורי זיכרון שאינם אמורים להיות נגישים, אחרי שהמשתמש פותח קובץ דיסק שהוכן לכך. כך סוגרים אותה.
חולשה באנדרואיד מאפשרת להוסיף בעלים מנהל למכשיר גם אחרי ההקמה הראשונית, ומשם לזלוג מידע. היא מנוצלת בשטח, והעדכון כבר יצא.
חולשה ברכיב Desktop Window Manager של Windows מאפשרת למי שכבר יש לו גישה למחשב לחשוף מידע רגיש מהזיכרון. כך מוודאים ש-Windows מעודכן.
קובץ ICS בהודעת דואר ב-Zimbra הכיל סקריפט שרץ ברגע הצפייה, ודרכו אפשר היה להגדיר כלל שמעביר את הדואר הנכנס לכתובת של התוקף. אלה הגרסאות הסוגרות ומה לבדוק בהגדרות אחרי העדכון.
במסך ההגדרות של ScadaBR אפשר לשמור סקריפט שירוץ בדפדפן של כל משתמש שייכנס אליו אחר כך. הציון נמוך יחסית, 5.4, והחולשה בכל זאת מסומנת כמנוצלת בפועל.
חולשה בחלונות אפשרה לקובץ שהורד מהאינטרנט להיפתח בלי הסימון שמפעיל את אזהרת האבטחה. היא נוצלה בשטח, והתיקון נמצא בעדכון ספטמבר 2024.
חולשה בוואטסאפ לאייפון ול-Mac, ששולבה עם חולשה של אפל בהתקפה ממוקדת, אפשרה לגרום למכשיר לעבד תוכן מכתובת שהתוקף שלט בה. כך בודקים שהאפליקציה מעודכנת.
חולשה ב-API של Cisco Catalyst SD-WAN Manager מאפשרת למשתמש בעל הרשאות קריאה בלבד לדרוס קבצים ולהרחיב את הרשאותיו. היא מנוצלת בשטח.
חולשה ב-Plex Media Server לפני 1.43.3.10861 מקבלת כל ערך בשדה ה-token ומאפשרת לכפות על השרת לשלוח בקשת POST ליעד חיצוני. הציון 5.3, והתיקון כבר זמין.
חולשה ב-Plex Media Server שמנוצלת בפועל מאפשרת למי שיש לו חשבון על השרת לגרום לו לפנות לכל כתובת, גם כזאת שיושבת בתוך הרשת הביתית. התיקון בגרסה 1.43.3.10861, וכדאי לעבור על מי שיש לו גישה.
כתבות חדשות ישירות לתיבה. בלי ספאם, הסרה בקליק אחד בכל רגע.