מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.
חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.
בגרסאות מסוימות של Juniper ScreenOS, הזנת סיסמה מסוימת בחיבור SSH או TELNET מספיקה כדי לקבל הרשאות ניהול. הרשומה אינה נוקבת בסיסמה ואינה מסבירה מאין הגיעה, והחולשה נכנסה לקטלוג המנוצלות באוקטובר 2025.
שליחת אובייקט מסוג SignedObject אל ממשק שורת הפקודה של Jenkins עוקפת את רשימת החסימה ומריצה קוד על השרת בלי שום הזדהות. מושפעות גרסאות 2.56 ומטה ו-LTS 2.46.1 ומטה, וקוד ניצול פומבי זמין כבר שנים.
שירות הסנכרון של Kentico Xperience מאפשר להגדיר סוג סיסמה בשם None, והטיפול בו נתן לפונה בלי חשבון שליטה על האובייקטים הניהוליים. הגבול כאן הוא גרסה 13.0.178.
כשל באימות על חיבור ה-TCP אל קונסולת הניהול של SKYSEA Client View מאפשר הרצת קוד מרחוק. הרשומה פורסמה ב-2017, נכנסה לקטלוג המנוצלות באוקטובר 2025, והמוצר כמעט אינו מוכר בישראל.
חולשה ב-Cisco Secure Email Gateway מאפשרת לתוקף לא מזוהה להריץ פקודות בהרשאות root על המכשיר באמצעות הודעת דואר בנויה במיוחד, בלי שאיש יפתח אותה. היא כבר מסומנת כמנוצלת בשטח.
חולשה ב-XWiki אפשרה למי שאינו מחובר כלל להריץ קוד על שרת הוויקי דרך בקשת חיפוש. אלה גרסאות התיקון, וזה המעקף שאפשר להחיל עד שמספיקים לעדכן.
חולשה ב-Kentico Xperience עד גרסה 13.0.172 אפשרה לתוקף לעקוף את האימות של שירות הסנכרון ולשלוט בהגדרות הניהול של האתר. כך בודקים אם ההתקנה שלכם חשופה ומה מתקינים.
רכיב ה-REST WebServices ב-Oracle Identity Manager מבצע פעולה בלי לשאול מי הקורא, והתוצאה שהרשומה מתארת היא השתלטות על המערכת. הגרסאות שברשומה הן 12.2.1.4.0 ו-14.1.2.1.0.
בשירות ה-telnet של GNU Inetutils עד גרסה 2.7, ערך שנראה כמו שם משתמש אבל מתפרש כאפשרות בשורת פקודה פותח כניסה בתור root בלי אימות. אלה הגרסאות ומה לעשות עכשיו.
חולשה בדירוג 9.8 בשער Quantum של צ'ק פוינט מנוצלת בפועל מאז ספטמבר 2026 ומאפשרת לתוקף בלי חשבון להריץ קוד על השער דרך שלב בדיקת התעודה ב-VPN. מה השתנה ומה לעשות.
חולשה במרכזיות FreePBX מאפשרת להגיע לממשק הניהול בלי לעבור את מסך ההתחברות. הציון 9.8, והיא סומנה כמנוצלת בפועל שש שנים אחרי שפורסמה. אלה טווחי הגרסאות.
תוקף בלי הזדהות יכול לשלוח ל-Web Help Desk נתונים שהמערכת בונה מהם אובייקט, וכך להריץ פקודות על השרת. הציון 9.8, וגרסת התיקון היא 2026.1.
שרת ה-Metro שנפתח בפיתוח React Native מאזין כברירת מחדל גם החוצה, ומי שמגיע אליו יכול להריץ פקודות על מחשב המפתח. גרסת התיקון היא 19.1.2.
חולשה בשרת הדואר Zimbra, שקיימת כשרכיב ה-WebEx מותקן ופעיל, מאפשרת לתוקף לא מזוהה להשתמש בשרת כדי לפנות ליעדים ברשת הפנימית. הגרסה המתקנת היא 8.8.15 Patch 7.
חולשה קריטית ב-Configuration Manager, הכלי שמנהל את תחנות העבודה בארגון, מאפשרת לתוקף לא מזוהה להריץ קוד על שרת הניהול. כך בודקים גרסה ומה מתקינים.
במצלמות Hikvision עם קושחה מ-2014 עד 2016 אפשר לעקוף את בדיקת ההזדהות ולהגיע לתמונה ולהגדרות דרך הרשת. כך בודקים אם המצלמה שלכם ברשימה ומה עושים איתה.
בקרי Logix מוודאים שתוכנת ההנדסה שמתחברת אליהם היא באמת שלהם, ואת הווידוא הזה אפשר לעקוף מהרשת בלי פרטי אימות. אין גרסה שמתקנת, ולכן ההגנה היא ברמת הרשת.
רכיב AjaxProxy במערכת SolarWinds Web Help Desk מפענח נתונים שמגיעים מבחוץ ומאפשר לתוקף לא מזוהה להריץ פקודות על המכונה. זאת עקיפה של תיקון שכבר היה עקיפה של תיקון קודם.
בתצורת ברירת המחדל של Artifactory, תוקף עם גישה רשתית ובלי חשבון עלול להגיע להרשאות מנהל. החולשה נכנסה לקטלוג המנוצלות של CISA שישה ימים אחרי הפרסום.
חולשה בשרת ניהול ההדפסות PaperCut מאפשרת לתוקף להיכנס לממשק הניהול בלי שם משתמש וסיסמה ולהריץ קוד בהרשאות הגבוהות ביותר. אילו גרסאות חשופות ומה סוגר את זה.
חולשה בליבת Drupal, שכבר נמצאת ברשימת החולשות המנוצלות של CISA, מאפשרת לתוקף בלי חשבון לשלוח פקודות משלו למסד הנתונים של האתר. אלה גרסאות התיקון לכל ענף.
שירות מסד נתונים נלווה ב-Splunk Enterprise נחשף לרשת בלי שום בדיקת הרשאות, וכל מי שמגיע אליו יכול ליצור או לרוקן קבצים על השרת. אלה הגרסאות שסוגרות את החולשה ומה עושים עד שמעדכנים.
אורקל פרסמה התראת אבטחה ייעודית לחולשה ב-PeopleTools שמאפשרת לתוקף מהרשת להשתלט על מערכת ה-PeopleSoft בלי להזדהות כלל. אלה שתי הגרסאות המושפעות ומה עושים עכשיו.
חולשה ב-ownCloud אפשרה לתוקף לקרוא, לשנות ולמחוק קבצים של משתמש בלי הזדהות, אם ידע את שם המשתמש. התיקון הוא גרסה 10.13.1.
חולשה בבקרת הגישה של SonicOS מאפשרת לתוקף להגיע למשאבי ניהול בלי הזדהות, ובתנאים מסוימים להפיל את חומת האש. הציון הוא 9.8 מתוך 10.
חולשה ב-Apache OFBiz אפשרה לתוקף בלי חשבון להגיע לנתיבים שלא בדקו הרשאות ולהפעיל דרכם קוד. התיקון הוא גרסה 18.12.15.
בגרסאות שלפני Gitea 1.27.1 אפשר להגיע דרך ה-API להתקנת סקריפט שרץ על השרת, ומשם להריץ קוד. החולשה כבר בקטלוג המנוצלות בפועל, וזו גרסת התיקון.
באג ברכיב העלאת הקבצים של נתבי Vigor3900, Vigor2960 ו-Vigor300B מאפשר להריץ פקודות מרחוק בלי אימות. הקושחה שסוגרת אותו היא 1.5.1.
מה שמקלידים בשדה הכתובת של כלי ה-ping בנתב DIR-820L ממשיך ישר לשורת הפקודה. אין ברשומה קושחה שסוגרת את זה, וזה מה שאפשר לעשות.
תוקף מרוחק ולא מזוהה יכול לעקוף את האימות של פאנל הניהול במאזן העומסים של Ivanti. שתי הגרסאות שסוגרות את החולשה הן 22.2R1 ו-22.7R2.
שרת HugeGraph בגרסאות 1.0.0 עד 1.3.0 מאפשר לתוקף מרוחק להריץ עליו פקודות בלי הזדהות. ההמלצה הרשמית כוללת שני חלקים, לא רק שדרוג גרסה.
מוזילה תיקנה באג זיכרון ב-Firefox ובתאנדרברד שכבר נוצל בשטח כשהתיקון יצא. אלה מספרי הגרסאות שסוגרות אותו בכל אחד מהערוצים.
חבילת רשת בנויה במיוחד אפשרה לתוקף לא מזוהה להריץ קוד על FortiOS, FortiProxy, FortiPAM ו-FortiSwitchManager. אלה טווחי הגרסאות החשופים והגרסה שסוגרת כל אחד מהם.
פעולה קריטית ב-FortiManager לא דרשה אימות, ותוקף מרוחק יכול היה להריץ דרכה קוד בעזרת בקשות בנויות במיוחד. החולשה מנוצלת מאוקטובר 2024, ואלה הגרסאות שסוגרות אותה בכל ענף.
חולשה ב-Ivanti Endpoint Manager שנמצאת בניצול פעיל מאפשרת לשלוף קבצים מהשרת בלי שם משתמש וסיסמה. אלה שני העדכונים שסוגרים אותה, ומה לבדוק אם השרת היה חשוף.
חולשה במימוש DCERPC של vCenter Server מאפשרת לתוקף עם גישת רשת להריץ קוד על שרת הניהול של סביבת הווירטואליזציה. אלה הגרסאות המושפעות ומה לבדוק אחרי העדכון.
חולשה בקונסולות הניהול של התקני SonicWall SMA1000 מאפשרת לתוקף מרוחק ולא מזוהה להריץ פקודות על מערכת ההפעלה של ההתקן. היא מנוצלת בשטח, והתיקון הוא עדכון קושחה.
חולשה ברכיב ה-websocket של FortiOS ושל FortiProxy מאפשרת לתוקף בלי חשבון להגיע להרשאות super-admin על המכשיר. CISA נתנה שבוע אחד לתקן אותה.
חולשה בשער ה-SSLVPN של חומות האש SonicWall מאפשרת לתוקף בלי פרטי אימות לעבור את מסך ההתחברות. הציון שלה 9.8, היא מנוצלת בשטח, ואלה הבניות שצריך לעדכן.
חולשת גלישת חוצץ בפורטל המשתמש של Sophos XG Firewall בגרסאות 17 מאפשרת הרצת קוד מרחוק. כמעט חמש שנים אחרי הפרסום היא נכנסה לרשימת המנוצלות, וקיים hotfix.
חולשה בממשק WebAdmin של Cyberoam OS מאפשרת לתוקף בלי הזדהות להריץ פקודות מסד נתונים על ההתקן. הציון 9.8, והיא בקטלוג החולשות המנוצלות בפועל.
חולשה ב-Outlook עם ציון 9.8 מאפשרת הרצת קוד מרחוק, והיא ברשימת החולשות שמנוצלות בפועל. כך בודקים אם התקנת האופיס שלכם מעודכנת.
חולשה ב-Ivanti Endpoint Manager שמנוצלת בשטח מאפשרת לתוקף בלי חשבון לקרוא קבצים מהשרת שמנהל את כל מחשבי הארגון. אלה העדכונים שסוגרים אותה.
תוקף שהכניס פקודת SQL לכותרת Host של בקשת HTTP הגיע למסד הנתונים של Accellion FTA בלי הזדהות. הגרסה שסוגרת היא FTA_9_12_380, וזה מה שעושים עם שרת ישן.
חולשה בממשק הרשת של MOVEit Transfer מאפשרת לתוקף בלי חשבון להגיע למסד הנתונים של שרת העברת הקבצים. היא נוצלה בשטח כבר במאי 2023, ואלה הגרסאות המתקנות.
חולשת מעבר נתיבים ב-Ivanti Endpoint Manager מאפשרת לתוקף מרחוק, בלי שם משתמש וסיסמה, לשלוף מידע רגיש מהשרת. כך בודקים אם התקנתם את העדכון שסוגר אותה.
חולשת מעבר נתיבים ברכיב ה-Syslog של VMware vCenter מאפשרת לתוקף עם גישת רשת להריץ קוד על שרת הניהול בלי הזדהות. כבר מנוצלת בפועל, וכך מגנים על הסביבה.
תוקף שנמצא ברשת יכול להתחבר לשיתוף המסך של מחשב Mac בלי פרטי אימות תקפים, והחולשה כבר בניצול פעיל. אלה גרסאות macOS שסוגרות אותה, וכך מכבים את השירות בינתיים.
כתובת אחת ב-Langflow מנפיקה כרטיס כניסה בדרגת משתמש על לכל פונה, וכתובת שנייה מריצה קוד. הצירוף נותן שליטה בשרת. גרסה 1.10.1 סוגרת את זה.
חולשה ב-Apache Tomcat עם ציון 9.8 מאפשרת הרצת קוד או חשיפת קבצים, אבל רק בהגדרות מסוימות. כך בודקים אם השרת שלכם באמת חשוף, ולאילו גרסאות לעדכן.
כתבות חדשות ישירות לתיבה. בלי ספאם, הסרה בקליק אחד בכל רגע.