מאגר חולשות אבטחה, עמוד 7

מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.

מנוצלות בפועל כרגע (625)

חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.

CVE-2025-31277

תוכן אינטרנט בנוי במיוחד גורם לשיבוש זיכרון במנוע WebKit של ספארי

עמוד בנוי במיוחד מספיק כדי לגרום לשיבוש זיכרון במנוע שמריץ אתרים בספארי ובכל דפדפן באייפון. אלה גרסאות התיקון, כולל ספארי 18.6.

8.8 · גבוההמנוצלת בפועל

CVE-2026-3909

חולשה ברכיב הגרפיקה Skia של Chrome מאפשרת לאתר לכתוב מחוץ לגבולות הזיכרון

באג ברכיב שמצייר את תוכן הדף ב-Chrome מאפשר לעמוד HTML בנוי במיוחד לכתוב מחוץ לשטח הזיכרון שהוקצה לו. גוגל שחררה תיקון, והחולשה מסומנת כמנוצלת בפועל.

8.8 · גבוההמנוצלת בפועל

CVE-2026-59822

חולשה ב-LiteLLM מאפשרת לעקוף את בדיקת המפתח ולהגיע אל כלי MCP

עד גרסה 1.84.0, כותרת הרשאה מזויפת הספיקה כדי לעבור את בדיקת המפתח של LiteLLM ולהגיע אל כלי ה-MCP שמאחוריו. כך בודקים איזו גרסה רצה אצלכם ומה לעדכן.

8.8 · גבוההמנוצלת בפועל

CVE-2026-5281

חולשה בכרום מאפשרת הרצת קוד לתוקף ששלט כבר בתהליך שמציג את העמוד

חולשת use after free ברכיב Dawn של כרום מאפשרת הרצת קוד לתוקף שכבר השתלט על התהליך שמעבד את העמוד. גוגל תיקנה בגרסה 146.0.7680.178, והחולשה מנוצלת בפועל.

8.8 · גבוההמנוצלת בפועל

CVE-2026-81578

בקשה לממשק הניהול של PaperCut מתחילה לפעול עוד לפני שבדיקת ההרשאות הסתיימה

בתנאים מסוימים שרת PaperCut מתחיל לבצע פעולות ניהול לפני שסיים לבדוק מי שלח את הבקשה, וכך אפשר לשנות הגדרות בלי שם משתמש. כך מתקנים ומה לבדוק ביומנים.

8.8 · גבוההמנוצלת בפועל

CVE-2024-7399

חולשה בשרת MagicINFO של סמסונג מאפשרת לכתוב קבצים בהרשאות מערכת

חולשה בשרת MagicINFO 9 של סמסונג, זה שמנהל את מסכי הפרסום והמידע, מאפשרת לתוקף לכתוב קובץ לכל מקום על השרת ובהרשאות הגבוהות ביותר. הגרסה שסוגרת היא 21.1050.

8.8 · גבוההמנוצלת בפועל

CVE-2010-0806

באג ברכיב Peer Objects של Internet Explorer אפשר הרצת קוד דרך דף אינטרנט

חולשה בקובץ iepeers.dll של Internet Explorer נוצלה בשטח במרץ 2010 ומאפשרת הרצת קוד דרך דף שהתוקף בנה. למה היא חזרה לכותרות ב-2026 ומה זה אומר היום.

8.8 · גבוההמנוצלת בפועל

CVE-2009-1537

קובץ מדיה שנפתח בווינדוס ישן מריץ קוד דרך רכיב DirectShow

חולשה ברכיב שמפרסר קובצי QuickTime בתוך DirectX מאפשרת הרצת קוד ברגע שנפתח קובץ מדיה מזויף. היא נוגעת לגרסאות ווינדוס ישנות, וב-2026 היא נוספה לקטלוג החולשות המנוצלות של CISA.

8.8 · גבוההמנוצלת בפועל

CVE-2010-0249

החולשה באינטרנט אקספלורר ששימשה במבצע אורורה מאפשרת הרצת קוד דרך דף אינטרנט

החולשה שדרכה נפרצו גוגל וחברות טכנולוגיה נוספות בסוף 2009 מאפשרת לתוקף להריץ קוד על המחשב של מי שגלש לדף שהוא שולט בו. אלה הגרסאות המושפעות ומה המשמעות שלה היום.

8.8 · גבוההמנוצלת בפועל

CVE-2019-1068

חולשה ב-Microsoft SQL Server מאפשרת למי שיש לו חשבון להריץ קוד על השרת

חולשה בשרתי SQL Server 2014, 2016 ו-2017 מאפשרת למשתמש עם חשבון גישה להריץ קוד על השרת, ומאוגוסט 2026 היא מסומנת כמנוצלת בפועל. אלה מספרי הבנייה שסוגרים אותה.

8.8 · גבוההמנוצלת בפועל

CVE-2024-7965

חולשה במנוע V8 מנוצלת בשטח ונוגעת גם ל-Chrome וגם ל-Edge

חולשה במנוע V8 שמריץ קוד של אתרים מאפשרת השחתת זיכרון דרך עמוד בנוי במיוחד. הגרסאות שסוגרות אותה הן Chrome 128.0.6613.84 ו-Edge 128.0.2739.42.

8.8 · גבוההמנוצלת בפועל

CVE-2024-29824

הזרקת SQL בשרת הליבה של Ivanti Endpoint Manager מאפשרת הרצת קוד למי שנמצא ברשת

תוקף שכבר נמצא באותה רשת יכול להריץ קוד על שרת Ivanti EPM בלי שם משתמש וסיסמה. התיקון יצא במאי 2024, וזה מה שצריך לבדוק בשרת שלכם.

8.8 · גבוההמנוצלת בפועל

CVE-2024-43461

חולשה ברכיב MSHTML של ווינדוס מציגה למשתמש דבר אחד בזמן שרץ אחר

רכיב התצוגה הישן של ווינדוס מציג מידע שאינו נכון בדיוק ברגע שבו המשתמש מחליט אם לפתוח משהו. הציון הוא 8.8, ואלה הבניות של ספטמבר 2024.

8.8 · גבוההמנוצלת בפועל

CVE-2026-8452

חולשת זיכרון ב-NetScaler מפילה את שער הגישה מרחוק וכבר מנוצלת בשטח

CISA הכניסה את החולשה הזאת ב-NetScaler לרשימת הניצול הפעיל ב-26 באוגוסט 2026 והקציבה שלושה ימים לתיקון. אלה הגרסאות שסוגרות אותה ומי צריך לבדוק.

8.8 · גבוההמנוצלת בפועל

CVE-2024-49039

חולשה במתזמן המשימות של חלונות מעלה תוכנית בהרשאות נמוכות לשליטה מלאה

תוקף שכבר הצליח להריץ קוד במחשב חלונות בהרשאות מוגבלות יכול היה לצאת מהן דרך מתזמן המשימות. החולשה נוצלה בפועל, ואלה מספרי הגרסה שסוגרים אותה בתחנות ובשרתים.

8.8 · גבוההמנוצלת בפועל

CVE-2021-21551

דרייבר של Dell שמותקן על מחשבי החברה מאפשר למשתמש מקומי להשיג שליטה מלאה

הדרייבר dbutil_2_3.sys של Dell מקבל בקשות מכל משתמש מקומי ומאפשר לו להסלים להרשאות מלאות. החולשה מנוצלת בפועל, וכך בודקים אם הקובץ עדיין על המחשב שלכם.

8.8 · גבוההמנוצלת בפועל

CVE-2025-0108

חולשה ב-PAN-OS מאפשרת לעקוף את ההזדהות בממשק הניהול של חומת האש

חולשה בממשק הניהול של PAN-OS, שמנוצלת בשטח, מאפשרת לתוקף בלי שם משתמש להפעיל חלק מהסקריפטים שמאחורי מסך ההזדהות. אלה גרסאות התיקון וההגבלה שסוגרת את הדלת.

8.8 · גבוההמנוצלת בפועל

CVE-2025-33053

חולשה בקובצי קיצור אינטרנט של Windows אפשרה הרצת קוד מרחוק

חולשה באופן שבו Windows מטפל בקובצי קיצור אינטרנט אפשרה לתוקף להריץ קוד על המחשב כשהמשתמש פותח קובץ נגוע, והיא כבר מנוצלת בשטח. כך מתגוננים.

8.8 · גבוההמנוצלת בפועל

CVE-2025-5419

חולשה במנוע V8 של כרום ואדג' אפשרה לתוקף לגעת בזיכרון הדפדפן דרך אתר נגוע

חולשה במנוע V8 המשותף לכרום ולאדג' אפשרה לתוקף לקרוא ולשנות את זיכרון הדפדפן רק מכניסה לאתר נגוע, ותוקנה בעדכון חירום. כך מוודאים שאתם מעודכנים.

8.8 · גבוההמנוצלת בפועל

CVE-2023-39780

חולשה בנתב ASUS RT-AX55 אפשרה למשתמש מזוהה להריץ פקודות מערכת

חולשה בנתב RT-AX55 של ASUS אפשרה לתוקף עם גישה לממשק הניהול להריץ פקודות על המכשיר דרך הגדרות איכות השירות, והיא מנוצלת בשטח. כך מעדכנים ומאבטחים.

8.8 · גבוההמנוצלת בפועל

CVE-2023-33538

חולשת הזרקת פקודות בנתבי TP-Link ותיקים מאפשרת השתלטות על המכשיר

חולשה בכמה דגמי נתב ביתי ותיקים של TP-Link מאפשרת לתוקף להריץ פקודות על הנתב עצמו, ודרכו על כל הרשת. היא כבר מנוצלת, וזה מה שכדאי לבדוק.

8.8 · גבוההמנוצלת בפועל

CVE-2007-0671

חולשה בגרסאות ישנות של Microsoft Office מאפשרת הרצת קוד דרך קובץ נגוע

חולשה בגרסאות Office 2000 עד 2003 מאפשרת לתוקף להריץ קוד על המחשב ברגע שפותחים קובץ אקסל בנוי במיוחד. כך בודקים אם הגרסה שלכם עדיין רלוונטית ומה עושים.

8.8 · גבוההמנוצלת בפועל

CVE-2020-25079

חולשה במצלמות רשת של D-Link מאפשרת הרצת פקודות על המצלמה

חולשה בכמה דגמי מצלמות רשת של D-Link מאפשרת למי שכבר מחובר להריץ פקודות מערכת על המצלמה ולהשתלט עליה. כך היא משתלבת עם חולשת חשיפת הסיסמה ומה מעדכנים.

8.8 · גבוההמנוצלת בפועל

CVE-2022-40799

חולשה במקליט הווידאו DNR-322L של D-Link מאפשרת הרצת פקודות על המכשיר

חולשה במקליט הווידאו הרשתי DNR-322L של D-Link מאפשרת למשתמש מחובר להריץ פקודות מערכת ולהשתלט על המכשיר. המוצר כבר אינו נתמך, וזה מה שאפשר לעשות.

8.8 · גבוההמנוצלת בפועל

CVE-2025-6558

חולשה בכרום ובספארי מאפשרת לאתר נגוע לפרוץ את בידוד הדפדפן

חולשה בכרום, בספארי ובמכשירי אפל מאפשרת לאתר בנוי במיוחד לפרוץ את מנגנון הבידוד של הדפדפן. כבר מנוצלת בפועל, וכך בודקים שאתם מעודכנים.

8.8 · גבוההמנוצלת בפועל

CVE-2020-24363

חולשה במרחיב הטווח של TP-Link מאפשרת השתלטות מהרשת המקומית

חולשה במרחיב הטווח TL-WA855RE של TP-Link מאפשרת לכל מי שמחובר לאותה רשת לאפס את המכשיר ולקבוע לו סיסמת ניהול חדשה. כך בודקים גרסה ומעדכנים.

8.8 · גבוההמנוצלת בפועל

CVE-2011-3402

חולשה במנגנון הגופנים של ווינדוס מאפשרת הרצת קוד דרך מסמך או אתר

חולשה ברכיב win32k.sys של ווינדוס מאפשרת הרצת קוד דרך גופן TrueType שהוטמע במסמך Word או בעמוד אינטרנט. היא נוצלה בשטח על ידי Duqu, וכך בודקים אם אתם חשופים.

8.8 · גבוההמנוצלת בפועל

CVE-2013-3918

חולשה ברכיב ActiveX של Internet Explorer מאפשרת הרצת קוד דרך אתר נגוע

חולשה ברכיב ActiveX של ווינדוס מאפשרת לתוקף להריץ קוד דרך עמוד שנפתח ב-Internet Explorer. היא נוצלה בהתקפות מכוונות, וכך בודקים אם המערכת שלכם חשופה.

8.8 · גבוההמנוצלת בפועל

CVE-2025-48543

חולשה ב-Android מאפשרת לקוד זדוני לפרוץ מהדפדפן ולהסלים הרשאות

חולשה ב-Android מאפשרת לקוד שכבר רץ במכשיר לפרוץ את בידוד הדפדפן ולהסלים הרשאות עד רכיב מערכת מרכזי. היא מנוצלת בשטח, וכך מתקינים את התיקון.

8.8 · גבוההמנוצלת בפועל

CVE-2025-33073

חולשה בשיתוף הקבצים SMB של Windows מאפשרת לתוקף ברשת להסלים הרשאות

חולשת בקרת גישה בפרוטוקול SMB של Windows, שמנוצלת בפועל, מאפשרת לתוקף מאומת ברשת המקומית להסלים להרשאות גבוהות. כך בודקים שהעדכון של יוני 2025 מותקן.

8.8 · גבוההמנוצלת בפועל

CVE-2025-13223

חולשה במנוע ה-JavaScript של Chrome מאפשרת תקיפה דרך אתר נגוע

חולשה במנוע V8 של Chrome מאפשרת לתוקף לפגוע בזיכרון הדפדפן דרך עמוד אינטרנט בנוי במיוחד. היא מנוצלת בשטח, וכך בודקים אם אתם מעודכנים.

8.8 · גבוההמנוצלת בפועל

CVE-2009-0556

חולשה ב-PowerPoint מגרסאות ישנות מאפשרת הרצת קוד דרך קובץ מצגת

חולשה ב-PowerPoint 2000 עד 2003 מאפשרת הרצת קוד דרך פתיחת קובץ מצגת נגוע. גרסאות Office מודרניות אינן מושפעות, וכך בודקים אם אתם חשופים.

8.8 · גבוההמנוצלת בפועל

CVE-2025-14174

חולשה במנוע הגרפיקה של Chrome ודפדפנים נוספים מאפשרת תקיפה דרך אתר נגוע

חולשה ברכיב ANGLE של Chrome, Safari ו-Edge מאפשרת לתוקף לפגוע בזיכרון הדפדפן דרך עמוד אתר נגוע. כך בודקים אם הדפדפן מעודכן.

8.8 · גבוההמנוצלת בפועל

CVE-2026-3910

מימוש שגוי במנוע הג'אווהסקריפט של כרום מאפשר הרצת קוד

חולשה במנוע V8 של כרום, מסוג שונה מבאג זיכרון רגיל, מאפשרת הרצת קוד דרך עמוד בנוי במיוחד. היא מנוצלת בשטח.

8.8 · גבוההמנוצלת בפועל

CVE-2008-0015

חולשה מ-2008 ברכיב ActiveX של ווינדוס חזרה לרשימת החולשות המנוצלות

חולשה ותיקה ברכיב ActiveX של ווינדוס מאפשרת הרצת קוד דרך עמוד אינטרנט. היא חזרה לרשימת החולשות המנוצלות ב-2026.

8.8 · גבוההמנוצלת בפועל

CVE-2026-2441

חולשה במנוע העיצוב של כרום מאפשרת הרצת קוד דרך עמוד בנוי במיוחד

חולשה ברכיב שמעבד את עיצוב העמודים בכרום מאפשרת הרצת קוד בתוך הדפדפן. היא מנוצלת בשטח, והעדכון לוקח פחות מדקה.

8.8 · גבוההמנוצלת בפועל

CVE-2026-21510

עקיפת הגנה במעטפת ווינדוס מאפשרת לקובץ שהורדתם לרוץ בלי אזהרה

חולשה במעטפת ווינדוס מאפשרת לעקוף את מנגנון האזהרה על קבצים שהורדו מהאינטרנט. היא מנוצלת בשטח, והתיקון מגיע בעדכון ווינדוס.

8.8 · גבוההמנוצלת בפועל

CVE-2026-21513

עקיפת הגנה ברכיב MSHTML הישן של ווינדוס מנוצלת בשטח

חולשה במנוע הדפדפן הישן MSHTML, שעדיין משמש רכיבים בווינדוס, מאפשרת לעקוף הגנה. היא מנוצלת בשטח והתיקון בעדכון ווינדוס.

8.8 · גבוההמנוצלת בפועל

CVE-2009-3459

חולשה ותיקה באדובי ריידר מאפשרת הרצת קוד דרך קובץ PDF

חולשה משנת 2009 באדובי ריידר ואקרובט מאפשרת הרצת קוד דרך מסמך PDF בנוי במיוחד. היא חזרה לרשימת החולשות המנוצלות בפועל.

8.8 · גבוההמנוצלת בפועל

CVE-2026-34197

ממשק ניהול פתוח ב-Apache ActiveMQ מאפשרת להריץ קוד על השרת

חולשה ב-Apache ActiveMQ מאפשרת למשתמש מזוהה לנצל את ממשק הניהול Jolokia כדי לטעון קוד מרחוק ולהריץ אותו. היא מנוצלת בשטח.

8.8 · גבוההמנוצלת בפועל

CVE-2009-0238

חולשה ותיקה באקסל מאפשרת הרצת קוד דרך קובץ גיליון בנוי במיוחד

חולשה משנת 2009 באקסל של מיקרוסופט חזרה לרשימת החולשות המנוצלות בפועל. היא מופעלת בפתיחת קובץ, ורלוונטית למי שמריץ גרסאות אופיס ישנות.

8.8 · גבוההמנוצלת בפועל

CVE-2023-21529

חולשה בשרתי אקסצ'יינג' מאפשרת למשתמש מזוהה להריץ קוד על שרת הדואר

חולשה בשרתי Microsoft Exchange המותקנים בארגון מאפשרת למי שיש לו חשבון להריץ קוד על שרת הדואר. היא נמצאת ברשימת החולשות המנוצלות.

8.8 · גבוההמנוצלת בפועל

CVE-2026-45659

חולשה בשרפוינט מאפשרת למשתמש מורשה להשתלט על השרת

חולשה בשרתי SharePoint מאפשרת למי שכבר יש לו חשבון בארגון להריץ קוד על השרת ולהרחיב את ההרשאות שלו. היא מנוצלת בשטח, ויש תיקון.

8.8 · גבוההמנוצלת בפועל

CVE-2026-11645

חולשה במנוע הג'אווהסקריפט של כרום מאפשרת הרצת קוד דרך עמוד נגוע

גוגל תיקנה חולשה בכרום שכבר מנוצלת בשטח, ומאפשרת לעמוד אינטרנט בנוי במיוחד להריץ קוד בתוך הדפדפן. כך בודקים איזו גרסה מותקנת אצלכם ומעדכנים.

8.8 · גבוההמנוצלת בפועל

CVE-2025-49704

חולשת הזרקת קוד בשרפוינט מאפשרת למשתמש מורשה להריץ פקודות על השרת

חולשה בשרתי SharePoint מאפשרת למי שיש לו הרשאה במערכת להזריק קוד ולהריץ אותו על השרת. היא מנוצלת בשטח מאז 2025, והתיקון קיים.

8.8 · גבוההמנוצלת בפועל

CVE-2026-88779

חולשה בהתקני NetScaler של סיטריקס מאפשרת לתוקף לא מזוהה להפיל את שער הגישה

חולשה בהתקני NetScaler ADC ו-NetScaler Gateway, שכבר נוצלה בשטח, מאפשרת לתוקף ללא פרטי אימות לפגוע בזמינות המכשיר. אלה הגרסאות שסוגרות אותה.

8.7 · גבוההמנוצלת בפועל

CVE-2024-49035

חולשה בפורטל השותפים של Microsoft אפשרה לתוקף להעלות את ההרשאות שלו

בקרת גישה לקויה ב-Partner Center של Microsoft אפשרה הסלמת הרשאות דרך הרשת. אין כאן גרסה לעדכן, כי התיקון נעשה בשירות עצמו, וזה מה שבכל זאת נשאר לארגון לעשות.

8.7 · גבוההמנוצלת בפועל

CVE-2025-3928

חולשה בשרת האינטרנט של Commvault שימשה לשתילת webshell

Commvault מדווחת שתוקפים יצרו והריצו webshell בשרת האינטרנט שלה. הניצול דורש חשבון קיים, הציון 8.7, ואלה ארבע הגרסאות שסוגרות את החולשה.

8.7 · גבוההמנוצלת בפועל

CVE-2025-4008

חולשה בממשק הווב של Meteobridge מאפשרת להריץ פקודות בהרשאות root

התקן Meteobridge, שמחבר תחנות מזג אוויר לרשת, מריץ פקודות שמגיעות מבקשה לא מאומתת בהרשאות root. התיקון נמצא בגרסה 6.2.

8.7 · גבוההמנוצלת בפועל

CVE-2025-14847

חולשה בשרת MongoDB מדליפה שאריות זיכרון לכל מי שמתחבר אליו

שדות אורך סותרים בפרוטוקול הדחוס של MongoDB גורמים לשרת להחזיר שאריות זיכרון לפונה שלא הזדהה כלל. החולשה מנוצלת בפועל, וכאן מפורטות גרסאות התיקון לכל קו גרסאות.

8.7 · גבוההמנוצלת בפועל

מאגר חולשות אבטחה, עמוד 7

מנוצלות בפועל כרגע (625)

// עדכונים למייל