מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.
חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.
כלי הרישוי CSLU של Cisco נשלח עם חשבון מנהל שלא תועד וסיסמתו זהה בכל התקנה. מי שמכיר אותה מקבל שליטה מלאה על ה-API. הגרסה המתקנת היא 2.3.0.
הערוץ שבו סוכני הבנייה של TeamCity מדברים עם השרת קיבל נתונים מכל גורם שהגיע אליו, ומשם היה אפשר להריץ קוד על השרת. אלה הגרסאות שסוגרות.
חולשה בנתב GT-AC2900 ובמערכת Lyra Mini של ASUS אפשרה לתוקף מהרשת להגיע לממשק הניהול בלי אימות, והיא מנוצלת בפועל. כך מעדכנים ומגבילים גישה מרחוק.
חולשה קריטית ב-FortiVoice, FortiMail, FortiNDR ומכשירי Fortinet נוספים אפשרה לתוקף לא מזוהה להריץ קוד מרחוק, והיא מנוצלת בשטח. כך מזהים אם אתם חשופים ומעדכנים.
חולשה ב-FortiWeb, חומת האש ליישומי אינטרנט של Fortinet, מאפשרת לתוקף לא מזוהה להריץ פקודות מול מסד הנתונים דרך בקשת רשת. היא כבר מנוצלת, וזה מה שצריך לעדכן.
חולשה בכלי Multi-Router Looking Glass, שמשמש מפעילי רשתות להרצת בדיקות אבחון, מאפשרת לתוקף לא מזוהה לשבש את הזיכרון ולהשתלט מרחוק. היא כבר מנוצלת.
חולשת שחרור כפול ברכיב IKE של Windows מאפשרת לתוקף להריץ קוד על המחשב דרך הרשת, בלי הזדהות, והיא כבר מנוצלת בשטח. כך מוודאים שהעדכון מותקן.
חולשה בציון 9.8 בשרתי SharePoint מקומיים מאפשרת לתוקף להריץ קוד על השרת בלי להזדהות, והיא כבר מנוצלת בהיקף עולמי. כך בודקים אם אתם חשופים ומה מעדכנים מיד.
חולשה נוספת ב-SSL-VPN של FortiOS, מסוג כתיבה מחוץ לתחום, שנוצלה בשטח ומאפשרת הרצת קוד מרחוק. אלה גרסאות התיקון לכל ענף נתמך.
חולשה ב-FortiOS מסוג heap overflow שנוצלה בשטח מאפשרת לתוקף לא מזוהה להריץ קוד על חומת האש דרך רכיב ה-SSL-VPN. אלה הגרסאות שסוגרות אותה.
חולשה חמורה במנוע V8 של Chrome מאפשרת לתוקף להשחית את זיכרון הדפדפן מעצם פתיחת עמוד נגוע, בלי פעולה נוספת. היא מנוצלת בשטח, וכך מוודאים שאתם מעודכנים.
חולשת הרצת קוד קריטית בציון 9.8 ב-WSUS, שירות הפצת העדכונים של Windows Server, שמנוצלת בפועל ומאפשרת לתוקף לא מאומת להשתלט על השרת מרחוק. כך מתקנים מיד.
חולשה בנתב הביתי D-Link Go-RT-AC750 מאפשרת לתוקף מהאינטרנט להריץ קוד על המכשיר בלי להזדהות. היא כבר מנוצלת בשטח, וכך בודקים מה עושים.
חולשה ב-FortiWeb מאפשרת לתוקף לא מזוהה להריץ פקודות ניהול על ההתקן דרך בקשת רשת בנויה. היא מנוצלת נרחבות, וכך מתקנים אותה.
חולשה ב-FortiOS ובמוצרי Fortinet נוספים מאפשרת לתוקף לעקוף את הזדהות ה-SSO ולהתחבר בלי סיסמה. כבר נצפו התחברויות זדוניות, וכך בודקים אם ההתקן מעודכן.
חולשה בנתב הביתי Tenda AC11 שכבר מנוצלת בפועל מאפשרת לתוקף להריץ קוד ולהשתלט על הנתב מרחוק. כך בודקים אם הנתב שלכם חשוף ומה עושים.
חולשה חמורה בשרתי SharePoint שארגונים מריצים אצלם מאפשרת לתוקף להריץ קוד מרחוק בלי להזדהות. כך יודעים אם אתם מושפעים ומה צריך לעדכן.
חולשה בכלי Langflow לבניית יישומי בינה מלאכותית מאפשרת לתוקף להריץ קוד על השרת בהרשאות root, בלי להזדהות כלל. היא כבר מנוצלת בשטח.
חולשה בהתקני Lantronix EDS מאפשרת לתוקף להריץ פקודות מערכת בהרשאות root דרך שדה שם המשתמש בדף ההתחברות, בלי סיסמה תקינה. היא מנוצלת בפועל.
חולשת הזרקת SQL במערכת FortiClientEMS של פורטינט מאפשרת לתוקף לא מזוהה להריץ קוד דרך בקשות HTTP. היא מנוצלת בשטח.
חולשת הזרקת קוד נוספת ב-Ivanti EPMM מאפשרת הרצת קוד בלי הזדהות, והפעם היא נוגעת גם לגרסאות מאוחרות יותר. היא מנוצלת בשטח.
חולשת בקרת גישה ב-FortiClientEMS מאפשרת לתוקף לא מזוהה להריץ פקודות. היא נוגעת לגרסאות שאחרי אלה של חולשה קודמת באותו מוצר.
חולשה בשרתי SharePoint 2016 מאפשרת לתוקף לא מזוהה להריץ קוד על השרת. היא מנוצלת בשטח, והתיקון קיים.
חולשה במערכת Ivanti EPMM מאפשרת לתוקף לא מזוהה להריץ קוד על השרת שמנהל את מכשירי הארגון. היא מנוצלת בשטח.
חולשה ב-FortiAnalyzer, ב-FortiManager וב-FortiProxy מאפשרת לעקוף את האימות דרך מסלול גישה חלופי. היא מנוצלת בשטח.
חולשה ב-vCenter Server מאפשרת לתוקף עם גישה רשתית להריץ קוד על השרת שמנהל את כל סביבת הווירטואליזציה. היא מנוצלת בשטח.
חולשה ב-FortiSandbox של פורטינט מאפשרת לתוקף לא מזוהה להריץ פקודות דרך בקשות HTTP. היא נכנסה לרשימת החולשות המנוצלות ביולי 2026.
חולשה בת יותר מעשור בשירות הרשת של ווינדוס, זו שהפעילה את תולעת קונפיקר, חזרה לקטלוג החולשות המנוצלות בפועל. מה זה אומר על מערכות ישנות.
חולשה קריטית בממשק ה-REST של וורדפרס מאפשרת לעקוף הגבלות, ובשילוב עם חולשת SQL נוספת להגיע להרצת קוד על האתר. העדכון סוגר את שתיהן.
חולשה ב-FortiSandbox של פורטינט מאפשרת לתוקף להריץ פקודות על המכשיר שתפקידו לתפוס תוכנות זדוניות. היא מנוצלת בשטח, ויש עדכון.
חולשה קריטית בשרתי SharePoint שמותקנים בארגון מאפשרת לתוקף להריץ קוד על השרת בלי להזדהות כלל. היא כבר מנוצלת בשטח, והתיקון קיים.
חולשה קריטית ברכיב התשלומים של Oracle E-Business Suite מאפשרת לתוקף לא מזוהה להשתלט על המערכת דרך הרשת. היא מנוצלת בשטח.
חולשה בפלטפורמת בניית סוכני ה-AI Langflow מאפשרת לתוקף לא מזוהה להריץ קוד על השרת. היא מנוצלת בשטח, והתיקון קיים מגרסה 1.3.0.
חולשה ב-Qlik Sense Enterprise for Windows מאפשרת לתוקף להריץ קוד על השרת דרך בקשות HTTP מעוותות. היא מנוצלת בפועל, וזה התיקון השני לאותה בעיה.
תוקף פרסם 84 גרסאות נגועות ב-42 חבילות TanStack ב-npm, תחת זהות הפרסום הלגיטימית של הפרויקט. כך בודקים אם משכתם אחת מהן ומה עושים אם כן.
ממשק ה-API של מאזן העומסים LoadMaster מעביר קלט לא מסונן אל שורת הפקודה של המכשיר, כך שתוקף ברשת יכול להריץ עליו פקודות. אלה הגרסאות המתקנות.
חולשה ב-Citrix NetScaler ADC וב-NetScaler Gateway שכבר מנוצלת בשטח מאפשרת להריץ פקודות על המכשיר בלי שם משתמש וסיסמה. אלה גרסאות התיקון ומועד היעד שנקבע.
רשומת NVD של חולשה ב-Citrix NetScaler שנוספה לקטלוג המנוצלות בפועל מספרת מעט מאוד. זה מה שכן כתוב בה, ואלה הגרסאות שסוגרות אותה.
חולשה בציון 9.5 בגרסת ה-on-prem של VeloCloud Orchestrator כבר מנוצלת בשטח ומאפשרת לתוקף בלי חשבון להגיע לפונקציונליות פנימית ולשרת שמריץ אותה. מה ידוע ומה לבדוק.
תוקף עם גישה ליציאה 4307 בשרת TrueConf יכול לצאת מהסביבה המבודדת ולהריץ קוד על השרת. החולשה מנוצלת בשטח, ואלה הבניות שמתקנות אותה.
חולשה קריטית בתוכנת התמיכה מרחוק SimpleHelp מאפשרת לתוקף מרוחק, ללא סיסמה, לקבל הרשאות טכנאי מלאות במערכת. כך בודקים אם ההתקנה שלכם מוגנת.
בהתקנה מקומית של VeloCloud Orchestrator כל משתמש שיש לו חשבון יכול להעלות את עצמו להרשאות operator ולהתחזות למשתמש superuser. CISA קבעה שהחולשה מנוצלת בפועל, והגרסאות המתקנות הן 5.2.3.18, 6.1.3.10 ו-6.4.2.12.
בגרסאות 6.3.0 עד 6.5.4 של Zammad אפשר להשתלט על session של משתמש ומשם להריץ קוד על השרת. בענף 7 החולשה קיימת אך אינה נתונה לניצול. כך בודקים ולאן מעדכנים.
לפי הרשומה, בכל גרסה של Zammad יכול החשבון המקומי שמריץ את התוכנה להפוך ל-root, בעל ההרשאות המלאות על המכונה. אין גרסה שסוגרת, ואלה צעדי ההכלה בינתיים.
חולשה בקונסולת הניהול המקומית של Trend Micro Apex One אפשרה לתוקף מהרשת, בלי חשבון, להעלות קוד ולהריץ פקודות על השרת. היא מנוצלת בפועל, וזה מה שעושים עכשיו.
חולשה ב-N-able N-central בגרסאות שלפני 2025.3.1 מאפשרת למי שמחזיק חשבון להריץ קוד דרך נתונים שהמערכת משחזרת בלי לוודא במה מדובר. 2025.3.1 סוגרת אותה.
חולשה ב-N-able N-central בגרסאות שלפני 2025.3.1 אפשרה למי שמחזיק חשבון בסיסי להריץ פקודות על מערכת ההפעלה של השרת. CISA נתנה שבעה ימים לתקן.
תוקף פרסם גרסה נגועה של Trivy ודרס את תגיות הגרסה של ה-Actions שלו בגיטהאב בקוד שגונב פרטי אימות. מי שהריץ אותן צריך להחליף כל סוד שהצינור נגע בו. כך בודקים.
שרת PaperCut טוען קוד לפי שם שכתוב בהגדרות, בלי לבדוק אותו מול רשימה מאושרת. החולשה כבר ברשימת המנוצלות של CISA. אלה גרסאות התיקון לכל ענף.
חולשה ב-Langflow עד גרסה 1.6.9 מאפשרת לדף אינטרנט זדוני לשלוף את פרטי ההתחברות של מי שמבקר בו ולהריץ דרכם קוד על השרת. כך בודקים אם המופע שלכם חשוף.
כתבות חדשות ישירות לתיבה. בלי ספאם, הסרה בקליק אחד בכל רגע.