מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.
חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.
חולשה ב-Expedition אפשרה לתוקף בלי חשבון לשלוף ממסד הנתונים שמות משתמש, תמציות סיסמאות, הגדרות מכשירים ומפתחות API. הגרסה שסוגרת אותה היא 1.2.96.
חולשה נפרדת ב-NetScaler של Citrix מאפשרת לתוקף לגרום לגלישת זיכרון שמפילה את המכשיר ומשבשת את פעולתו. היא כבר מנוצלת, וזה העדכון שסוגר אותה.
חולשה ב-Citrix NetScaler שכבר מנוצלת בשטח מאפשרת לתוקף לא מזוהה להריץ קוד או להפיל את השרת מרחוק. אלה גרסאות התיקון ומה צריך לבדוק מיד.
פרטי אימות שהושארו בתוך הקוד של SolarWinds Web Help Desk מאפשרים לתוקף לא מזוהה לקרוא ולשנות נתונים במערכת. החולשה מנוצלת בפועל, והתיקון הוא 12.8.3 Hotfix 2.
במצלמות PT30X של PTZOptics, בקושחה שלפני 6.3.40, כתובת ניהול אחת עונה בלי הזדהות ומחזירה שמות משתמשים וגיבובי סיסמאות. כך בודקים את הקושחה ומה מעדכנים.
חולשה ברכיב NuPoint של Mitel MiCollab מאפשרת לתוקף בלי שם משתמש להגיע לנתוני משתמשים ולהגדרות המערכת, לשנות אותם ולמחוק אותם. הציון 9.1, והיא מנוצלת בפועל.
תוכן שמועלה לרכיב ה-Metadata Uploader של Visual Composer ב-SAP NetWeaver 7.5 משוחזר בשרת בצורה שמאפשרת להשתלט עליו. הציון 9.1, היא מנוצלת בפועל, ואלה ההפניות לתיקון.
חולשת הסלמת הרשאות בציון 9.1 בפלטפורמת החנויות Adobe Commerce, הידועה גם בשם Magento, כבר מנוצלת בשטח. מי חשוף, ואיפה נמצא התיקון.
חולשה במערכת ניהול הייצור DELMIA Apriso אפשרה לפונה בלי חשבון להגיע להרשאות גבוהות במערכת. אלה המהדורות שבטווח ומה עושים עד להתקנת התיקון.
חולשה ב-Adobe Commerce וב-Magento אפשרה לתוקף להשתלט על הסשן של משתמש בחנות בלי שהמשתמש יעשה דבר. אלה רמות התיקון שצריך להתקין בכל אחד מקווי הגרסאות.
בגרסאות Triofox שלפני 16.7.10368.56560 אפשר להגיע לעמודי ההגדרה הראשונית גם אחרי שהמערכת כבר הוקמה, בלי הזדהות. הציון 9.1 והחולשה מנוצלת בפועל.
חולשה ב-mod_rewrite של Apache עד גרסה 2.4.59 מאפשרת לכתובת בנויה במיוחד להגיע לקבצים שלא נועדו להיות פומביים. כך בודקים אם השרת שלכם חשוף ומה מתקנים.
חולשה בשרתי SharePoint מאפשרת לתוקף לעקוף מנגנון אימות ולהגיע לתוכן שאמור להיות חסום, בלי להזדהות. היא כבר מנוצלת בפועל, והתיקון זמין.
הפונקציה ששומרת טיוטה אוטומטית ב-Zimbra ZCS 8.8.15 קיבלה סקריפט שרץ אחר כך בדפדפן של המשתמש. החולשה מנוצלת בפועל, וזה מה שבודקים בשרת שמחזיק את הדואר שלכם.
פורטל CentreStack הגיע עם אותו machineKey בכל התקנה, ומי שמכיר אותו יכול לשלוח לשרת אובייקט שיריץ קוד. החולשה נוצלה בשטח במרץ 2025, וכאן מה שצריך לעדכן ולהחליף.
באג שכבר תוקן פעם ב-Yii 2 חזר, ואפשר לקלט חיצוני לקבוע איזו מחלקה תיטען ותרוץ. הרשומה מציינת ניצול בשטח בין פברואר לאפריל 2025, והגרסה שסוגרת היא 2.0.52.
חולשה ב-CrushFTP 10 ו-11 אפשרה לתוקף מרוחק להשיג גישת מנהל, בהתקנות שאינן משתמשות ב-DMZ proxy. הרשומה עצמה מציינת ניצול בשטח ביולי 2025. אלה גרסאות התיקון.
חולשה במערכות Experience Manager ו-Experience Platform של Sitecore בגרסאות עד 9.0 אפשרה לתוקף להריץ קוד על השרת, והיא מנוצלת בפועל. מה נמצא בטווח ומה היצרן מפרסם.
נתונים שמגיעים מבחוץ מפוענחים ב-DELMIA Apriso בלי בדיקה מספקת, מהמהדורות 2020 עד 2025, והתוצאה עלולה להיות הרצת קוד מרחוק. החולשה מנוצלת בשטח.
בבקשת שינוי הרשאות ב-CWP אפשר להחביא פקודות מערכת בתוך פרמטר, בלי הזדהות. התנאי היחיד הוא הכרת שם משתמש קיים שאינו root, והתיקון הוא 0.9.8.1205.
חולשה בשערי Ivanti Connect Secure, Policy Secure ו-Neurons for ZTA מאפשרת הרצת קוד מרחוק בלי חשבון. היא נכנסה לרשימת המנוצלות ביום פרסומה, וניתוח מפורט שלה זמין בפומבי.
חולשה ב-Ivanti Connect Secure ובמוצרים נוספים של איוונטי מאפשרת לתוקף לא מזוהה להריץ קוד על שער ה-VPN. CISA נתנה לגופים הפדרליים שבוע אחד לתקן.
תוקף בלי שם משתמש וסיסמה יכול להריץ פקודות מערכת על שרת Zimbra שמותקן עליו רכיב ה-SNMP האופציונלי. CISA קבעה מועד תיקון ב-24 באוגוסט, וזו הגרסה שסוגרת את החולשה.
חולשה במעטפת ווינדוס מאפשרת לתוקף מרחוק להריץ פקודות ולעקוף מנגנון הגנה, אחרי פעולה אחת של המשתמש. היא בקטלוג החולשות המנוצלות בפועל, וכך בודקים אם אתם מעודכנים.
אפל סגרה חולשה שבה תוכן אינטרנט בנוי במיוחד מריץ קוד על האייפון, האייפד או ה-Mac, ולפי דיווח שהגיע אליה היא כבר נוצלה במחשבי Mac עם מעבד Intel. אלה גרסאות התיקון וכך מתקינים אותן.
בנתבים ותיקים של Zyxel, בקשת POST מעוצבת לממשק הניהול מריצה פקודות על המכשיר. אין קושחה שמתקנת את זה, וזה מה שאפשר לעשות בכל זאת.
במודמי Zyxel ישנים מסדרות VMG ו-SBG, משתמש מזוהה יכול להריץ פקודות מערכת הפעלה דרך ממשק ה-Telnet. המכשירים כבר מחוץ לתמיכה, ולכן הפתרון הוא לא עדכון.
שירותי ווב ב-Pentaho BA Server אפשרו לקבוע ערכי מאפיינים שמכילים תבנית Spring, והתבנית חושבה במקום אחר בהמשך. הגרסאות הסוגרות הן 9.4.0.1 ו-9.3.0.2.
רכיב הייצוא ב-Oracle Agile PLM 9.3.6 משחזר אובייקטים מנתונים חיצוניים בלי לאמת אותם, ומשתמש עם הרשאות נמוכות יכול להשתלט דרכו על המערכת. התיקון בעדכון של ינואר 2024.
עיבוד של קובץ בנוי במיוחד במכשירי אפל מוביל להרצת קוד, ולפי אפל החולשה כבר שימשה בתקיפה ממוקדת. גרסאות התיקון הן 26.7.1 ו-15.8.1, תלוי במכשיר ובמערכת.
אותו מודול anti-CSRF שפתח את Sitecore הישנה לתוקף אנונימי נשאר פתוח עד גרסה 9.1 לכל מי שיש לו חשבון. למה חשבון הוא מחסום חלש כאן, ומה עושים.
באג ב-SharePoint Server מאפשר למי שכבר יש לו חשבון, גם עם הרשאות בסיסיות, לגרום לשרת להריץ קוד דרך הרשת. התיקון הוא גרסה 16.0.19725.20522, וכך בודקים מה מותקן אצלכם.
חולשה בציון 8.8 במתגים המנוהלים מסדרת GS1900 של Zyxel, שכבר מנוצלת בשטח, מאפשרת למי שנמצא ברשת המקומית להריץ פקודות על המתג בלי להזדהות. כאן רשימת הקושחות המתוקנות.
חולשה ברכיב mshtml של אינטרנט אקספלורר 6 עד 11 אפשרה להריץ קוד על המחשב של מי שפתח דף, ובאוגוסט 2025 היא נוספה לקטלוג המנוצלות. מה זה אומר למי שמחזיק מערכות ישנות.
כלל ebtables שמשכתב כתובת חומרה בחבילות ARP כותב אל אזור זיכרון בלי לוודא קודם שמותר לכתוב אליו. אלה גרסאות הקרנל המתוקנות ומי שהתצורה הזאת נוגעת לו.
Bash עד גרסה 4.3 ועד הטלאי bash43-026 אינו מפרסר נכון הגדרת פונקציה בתוך ערך של משתנה סביבה, ומי ששולט במשתנה כזה שולט בפקודות שירוצו. זו הרשומה שנולדה מתיקון חלקי של שלוש קודמותיה.
רשומה בת משפט אחד מתארת כתיבה מחוץ לגבולות הזיכרון ברכיב פענוח התמונות של סמסונג, שמאפשרת הרצת קוד מרחוק. התיקון נמצא בעדכון SMR Sep-2025 Release 1, והכניסה לקטלוג המנוצלות הגיעה עשרים ימים אחרי הפרסום.
באג לוגי במודם הסלולרי מאפשר לתוקף שנמצא בטווח קרוב להסלים הרשאות במכשיר בלי שום פעולה מצד המשתמש. הציון 8.8, והחולשה נכנסה לקטלוג המנוצלות יום אחרי שפורסמה.
חולשה במכשירי אפל אפשרה לאתר שנכנסתם אליו להריץ קוד על המכשיר. אלה הגרסאות שסוגרות אותה באייפון, במק, בשעון וב-Apple TV, וכך בודקים איזו גרסה מותקנת אצלכם.
דרך מסך עריכה אחד ב-ScadaBR משתמש מחובר יכול להעלות קובץ JSP ולגרום לשרת להריץ אותו. הרשומה אינה נוקבת בגרסה מתקנת, ולכן העבודה כאן היא הגבלה ולא עדכון.
ספריית עיבוד התמונות במכשירי גלקסי כותבת מחוץ לגבולות הזיכרון כשהיא מפרסרת תמונה שנבנתה במיוחד. התיקון נמצא בעדכון האבטחה של סמסונג לאפריל 2025.
מכשיר ההקלטה DS-2105 Pro של Digiever מאפשר לתוקף להריץ עליו פקודות דרך ממשק הניהול, היצרן כבר אינו תומך בדגם ולא יצא תיקון. כך מצמצמים את הסיכון בלי עדכון.
אפל תיקנה חולשה שאפשרה לאתר בנוי במיוחד להריץ קוד על אייפון, אייפד או מק, ולפי אפל היא שימשה במתקפה ממוקדת נגד אנשים מסוימים. אלה הגרסאות שסוגרות אותה.
חולשה בממשק הניהול של נתבי AirLink מאפשרת להעלות קובץ שהשרת מריץ, והיא נוספה לרשימת החולשות המנוצלות שבע שנים אחרי שפורסמה. אלה גרסאות ALEOS שסוגרות אותה.
חולשה משנת 2021 במנוע ה-JavaScript של כרום אפשרה לעמוד בנוי במיוחד לשבש את זיכרון הדפדפן. היא נוצלה בפועל ונסגרה בגרסה 95.0.4638.69, וגם Debian ו-Fedora שחררו עדכוני חבילה.
ב-Zimbra Collaboration 10.0 ו-10.1, בקשה בנויה אל הכתובת /h/rest גורמת לשרת להגיש קבצים שלא נועדו להיות מוגשים. אלה הגרסאות המתוקנות ומה לחפש ביומנים.
החולשה במנוע V8 מאפשרת הרצת קוד בתוך ארגז החול של כרום דרך עמוד מעוצב. גוגל דירגה את חומרתה בינונית, הציון ב-NVD הוא 8.8, והתיקון נמצא בגרסה 153.0.8010.36.
בקשת בדיקת מהירות אחת, בלי הזדהות, גורמת לנתב MikroTik לשלוח החוצה שאריות זיכרון ולעיתים לאתחל את עצמו. החולשה מנוצלת בפועל, וגרסאות התיקון הן 6.49.21, 7.23.4 ו-7.24.2.
אפל תיקנה חולשה שבה הדפדפן ממשיך להשתמש בשטח זיכרון שכבר החזיר. יש שתי גרסאות תיקון, 16.6 למי שעל הקו החדש ו-15.8.7 למכשירים שנעצרו קודם.
החולשה במנוע V8 של כרום נכנסה לרשימת החולשות המנוצלות של CISA. הקוד של התוקף רץ בתוך ארגז החול של הדפדפן, והתיקון נמצא בגרסה 152.0.7977.82.
כתבות חדשות ישירות לתיבה. בלי ספאם, הסרה בקליק אחד בכל רגע.