מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.
חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.
חולשה ב-Jira Server וב-Jira Data Center מאפשרת לתוקף לא מזוהה לקרוא את קובץ ההגדרות של השרת. אלה הגרסאות המתוקנות ומה לבדוק בהתקנה שלכם.
הודעת HTML עם סקריפט בתוך תגית תמונה רצה בממשק הווב של MDaemon ברגע שהנמען מציג אותה, בלי שום לחיצה. הגרסה שסוגרת היא 24.5.1c, ואלה הבדיקות אחרי העדכון.
שירות TeleMessage השאיר פתוח לכל דורש את הכתובת heapdump, מנגנון תשתית שמחזיר עותק של זיכרון השרת. החולשה נוצלה במאי 2025, וזאת גם תזכורת לבדוק את זה אצלכם.
בגרסאות Vite שלפני 4.5.11, 5.4.16, 6.0.13, 6.1.3 ו-6.2.4, תוספת קצרה לכתובת גורמת לשרת הפיתוח להחזיר קבצים שלא היה אמור להגיש. זה נוגע רק למי שחשף אותו לרשת, וכך בודקים.
חולשה ב-Artifactory שנוספה לקטלוג החולשות המנוצלות בפועל מאפשרת למשתמש עם חשבון קיים לכתוב מידע אל מחוץ לתיקיית המטמון של Docker. אלה הגרסאות שסוגרות אותה.
חולשה ברכיב ה-API של Ivanti EPMM אפשרה לתוקף לא מזוהה לגשת למשאבים מוגנים, והיא מנוצלת בשטח. כך מזהים את הגרסאות הפגיעות ומעדכנים.
חולשה בנתב DIR-859 של D-Link, דגם שהגיע לסוף חיים, מאפשרת לתוקף לקרוא קבצים פנימיים מהמכשיר דרך בקשת רשת. אין תיקון, וזה מה שאפשר לעשות.
חשבון עם פרטי התחברות קבועים ב-Cisco Secure Firewall Management Center מאפשר לתוקף מרוחק להתחבר ולקרוא מידע רגיש, ו-CISA כבר סימנה שהחולשה מנוצלת בשטח. כך בודקים אם אתם חשופים.
חולשה בשרתי SharePoint משאירה פעולה רגישה פתוחה בלי בדיקת הרשאות. הציון נמוך יחסית, אבל היא כבר מנוצלת בשטח. כך מתקנים.
חולשה במערכת הקלטת ההפעלות של Citrix מאפשרת למשתמש מזוהה באותו domain להעלות את הרשאותיו לחשבון שירות במערכת. הגרסה שסוגרת אותה ומה לבדוק.
חולשה במערכת הקלטת ההפעלות של Citrix מאפשרת למשתמש מזוהה ברשת הפנימית להריץ קוד ברמת חשבון שירות. כך היא נבדלת מחולשת ההרשאות התאומה, ומה מעדכנים.
חולשה ב-Cisco ASA ו-FTD מאפשרת להריץ ניסיונות התחברות מול שירות ה-VPN דרך נתיב שאינו נבדק כראוי. היא אינה עוקפת הזדהות, והיא מנוצלת בפועל מאז ספטמבר 2023.
חולשה ב-Strapi מאפשרת למי שהגיע לפאנל הניהול לחלץ גיבובי סיסמאות ו-token-ים של איפוס סיסמה של כל המשתמשים. מגרסה 4.8.0 זה תוקן.
הרכיב igel-flash-driver ב-IGEL OS מאמת חתימה קריפטוגרפית באופן לקוי, ולכן אפשר לטעון מערכת קבצים שלא נבדקה ולעקוף את Secure Boot. נדרשת גישה פיזית, והרשומה מונה גם שורה ארוכה של גרסאות ווינדוס.
חולשה במערכת הקבצים NTFS של Windows כותבת מידע רגיש לקובץ יומן, וחושפת אותו למי שיש לו גישה פיזית למכשיר. כך סוגרים אותה ולמה זה נוגע בעיקר לניידים.
שמות הקבצים שההתקן יוצר היו צפויים מראש, כך שמשתמש מזוהה יכול להעלות תוכן משלו למקום שהוא יודע לאתר. הציון הוא 4.3 בלבד, והחולשה בכל זאת נרשמה כמנוצלת בפועל. הגרסאות המתקנות הן 25.1.1.3 ו-22.8R2.6.
ערך ארוך בעוגיית UID גורם ל-Wing FTP Server לחשוף בתגובה את הנתיב המלא שבו הוא מותקן. הציון הוא 4.3 בלבד, אבל החולשה מסומנת כמנוצלת בפועל. התיקון הוא גרסה 7.4.4.
חולשה בת יותר מעשור בממשק הניהול של נתבי סיסקו ותיקים חזרה לרשימת החולשות המנוצלות. היא רלוונטית למי שעדיין מפעיל ציוד מהתקופה.
חולשה ברכיב המעטפת של ווינדוס מאפשרת התחזות: המשתמש רואה דבר אחד ומקבל אחר. הציון נמוך, אבל היא כבר מנוצלת בשטח.
תמונה או סרטון שנשלחו דרך קישור iCloud יכלו לנצל באג לוגי במכשירי אפל. אפל מוסרת שהחולשה ייתכן שנוצלה בתקיפה מתוחכמת נגד יחידים, וכך בודקים שאתם מעודכנים.
עותק הזיכרון של שירות TeleMessage הוא כמו קובץ קריסה מלא, ובתוכו נמצאה סיסמה שנשלחה קודם לכן בחיבור HTTP לא מוצפן. החולשה נוצלה במאי 2025.
חולשה במנוע של Microsoft Defender מאפשרת לקוד שכבר רץ על המחשב לפגוע בזמינות ההגנה. הציון שלה נמוך, היא בכל זאת ברשימת המנוצלות, וכך בודקים את הגרסה אצלכם.
חולשה ב-VMware ESX מאפשרת למי שיש לו הרשאות ניהול לבצע פעולות שאינן נרשמות ביומן. הציון שלה נמוך מאוד, היא בכל זאת נכנסה לרשימת החולשות המנוצלות בפועל, וזה ההסבר.
חולשה ב-Mitel MiCollab בציון 2.7 מאפשרת למנהל מערכת לקרוא קבצים מהשרת. הציון נמוך, היא בכל זאת ברשימת החולשות המנוצלות של CISA, וזה ההסבר.
הרשומה קובעת שמערכת הארכוב של TeleMessage החזיקה עותקי הודעות בטקסט גלוי, אף שהתיעוד הבטיח הצפנה מהטלפון ועד הארכיון. לא באג בקוד, ובכל זאת נוצלה בשטח.
רכיב ב-Prefab UI שנועד להריץ קוד Python לא מהימן בבידוד הופעל עם הרשאות קריאה וכתיבה מלאות, כך שהקוד יכול לגעת בקבצים של השרת. התיקון הוא גרסה 0.21.0.
חולשה בשרת WS_FTP של Progress מאפשרת לתוקף מהרשת לשלוף מידע רגיש, ובכלל זה את פרטי האימות של המנהל, בלי שהזדהה. הגרסאות המתקנות הן 2024.0.6 ו-2025.0.3, וזה מה שצריך לעשות אחרי העדכון.
הרשומה נותנת לחולשה ב-FortiSIEM ציון 10 מתוך 10 על הזרקת פקודות דרך ה-API, ולא מפרטת מעבר לכך. אלה טווחי הגרסאות החשופים ואיפה נמצאת הגרסה שצריך לעדכן אליה.
בקושחה של Autel MaxiCharger Single עד גרסה 1.03.51 קיימים שני חשבונות מנהל שאינם מתועדים, עם סיסמאות שנגזרות מערכים של המכשיר עצמו. הציון הוא 10 מתוך 10, והרשומה אינה מציינת גרסה מתוקנת.
בקשת API בנויה היטב מאפשרת להריץ פקודות על FortiSIEM בלי שם משתמש ובלי סיסמה, והטווח נמשך מגרסה 6.4.0 ועד 7.1.1. קוד הדגמה פומבי, והעדכון מופיע בהודעת FG-IR-23-130 של פורטינט.
חולשה ב-GitLab CE ו-EE מקבלת 10 מתוך 10 ומאפשרת למי שאינו מזוהה להריץ קוד על השרת. אלה גרסאות התיקון ואיך בודקים על איזו גרסה ההתקנה שלכם עומדת.
חולשה בציון המקסימלי ב-ColdFusion של אדובי מאפשרת להעלות לשרת קובץ מסוכן ולהריץ דרכו קוד, בלי הזדהות ובלי שמשתמש יעשה דבר. כך בודקים אם אתם מריצים אותו ומה לעדכן.
חולשה ב-ColdFusion מאפשרת לתוקף בלי חשבון לגרום לשרת לשלוח בקשות בשמו ולהסלים הרשאות. הציון 10 מתוך 10, וההשפעה חורגת מהשרת עצמו. העדכון מופיע בעדכון האבטחה של אדובי.
ב-Dell Container Storage Modules בגרסאות שלפני 1.18.0 יש פעולה קריטית שאינה דורשת אימות כלל, ותוקף מרוחק בלי חשבון יכול להסלים דרכה הרשאות. הציון 10 מתוך 10, והעדכון הוא 1.18.0.
חולשת SSRF בממשק ה-Work Place של SonicWall SMA1000 מאפשרת לתוקף לא מזוהה לגרום למכשיר לשלוח בקשות בשמו ולהגיע לשירותים פנימיים. הציון 10 מתוך 10, ואלה הצעדים עכשיו.
חולשה ב-Dell CSM בגרסאות שלפני 1.18.0 מאפשרת לתוקף לא מזוהה לשלוף מרכיב gRPC את פרטי האימות של מנהל האחסון בכל המערכים הרשומים. הציון 10 מתוך 10, והעדכון הוא 1.18.0.
חולשה בנתבי Linksys מסדרת E מאפשרת לתוקף שאינו מזוהה להריץ פקודות על הנתב דרך פורט 8080. תולעת ניצלה אותה ב-2014, ובפברואר 2025 נצפו שוב סימני ניצול.
ביקורת פנימית של Cisco העלתה ב-Secure Workload חולשות בקרת גישה שקיבלו יחד את הציון המקסימלי. למה ציון 10 אינו אומר שהחולשה מנוצלת, ואיפה נמצאת גרסת התיקון.
ביקורת אבטחה פנימית של Cisco העלתה ב-Crosswork חולשת SQL Injection שקיבלה 10 מתוך 10. מה מרכיב ציון מלא כזה, ואיפה מוצאים את גרסת התיקון.
חולשה באפליקציית UniFi Talk קיבלה את הציון המלא, 10 מתוך 10: מי שיכול לשלוח בקשה אל האפליקציה יכול להריץ פקודות על המכשיר בלי להזדהות. מה הרשומה כן אומרת, ומה עושים בפועל.
קוד לא אמין שרץ בתוך ארגז החול של ספריית vm2 יכול היה לקבל ידית אל סביבת המארח ולהריץ ממנה פקודות מערכת. הציון 10 מתוך 10, והתיקון הוא גרסה 3.12.1.
בגרסה 0.8.0 של argocd-mcp השרת מאזין לכל ממשקי הרשת ומקבל בקשות בלי פרטי אימות, ואז פועל מול Argo CD עם ה-token השמור של המפעיל. כך בודקים אם הוא רץ אצלכם וכך סוגרים אותו.
חולשה באפליקציית UniFi Protect מאפשרת למי שנמצא על אותה רשת להריץ פקודות על המכשיר שמריץ אותה, בלי חשבון. למה הציון הוא 10 ומה אפשר לעשות עד לעדכון.
חולשה בציוד רשת של Ubiquiti שמריץ UniFi OS מאפשרת לתוקף שנמצא באותה רשת להיכנס למכשיר בלי שם משתמש וסיסמה. הציון שלה 10 מתוך 10, וכך מוודאים שהציוד שלכם מעודכן.
חולשה בתוסף GiveWP לוורדפרס מאפשרת לתוקף בלי חשבון להריץ קוד על השרת שמארח את האתר. הציון הוא 10 מתוך 10, והיא נסגרת בעדכון התוסף.
חולשה בציון החומרה המרבי ב-Microsoft Entra ID מאפשרת לתוקף לא מזוהה להריץ קוד דרך הרשת. אין ברשומה גרסה להתקין, וזה מה שכן אפשר לעשות.
חולשה בדירוג המרבי ב-n8n אפשרה לתוקף ללא חשבון לקרוא קבצים מהשרת דרך תהליכי עבודה מבוססי טופס. כך בודקים אם הגרסה שלכם חשופה.
חולשה בציון 10.0 באפליקציית UniFi Connect של יוביקוויטי מאפשרת למי שנמצא ברשת להריץ פקודות על המכשיר. לא ידוע על ניצול, והעדכון זמין.
באג במהדר Cranelift של Wasmtime גורם למספרים סידוריים פנימיים להיחתך בשקט בפונקציות גדולות, ומאפשר למודול WebAssembly זדוני לצאת מהבידוד בכל ארכיטקטורה. התיקון נמצא בגרסאות 36.0.19 ו-43.0.0.
טבלת קפיצה של יותר מרבע מיליון יעדים גורמת למהדר של Wasmtime לייצר על מעבדי ARM הסתעפות ליעד שגוי, ומאפשרת למודול WebAssembly לצאת מהבידוד. התיקון נמצא בגרסאות 36.0.19, 48.0.7 ו-49.0.4.
כתבות חדשות ישירות לתיבה. בלי ספאם, הסרה בקליק אחד בכל רגע.