מאגר חולשות אבטחה, עמוד 8

מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.

מנוצלות בפועל כרגע (625)

חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.

CVE-2025-8110

חולשה ב-Gogs מאפשרת למשתמש רשום להריץ קוד על השרת

בגרסאות Gogs עד 0.13.3 ועד בכלל, טיפול שגוי בקישורים סימבוליים ב-API שכותב קבצים נותן למי שיש לו חשבון להריץ קוד על המכונה. אלה הגרסאות ומה לבדוק בהרשמה.

8.7 · גבוההמנוצלת בפועל

CVE-2026-25108

חולשה במערכת העברת הקבצים FileZen מאפשרת למשתמש מחובר להריץ פקודות על השרת

כשאפשרות בדיקת האנטי וירוס ב-FileZen פעילה, בקשה בנויה במיוחד מריצה פקודות מערכת. הגרסה שסוגרת את זה היא 5.0.11, והחולשה כבר מנוצלת בפועל.

8.7 · גבוההמנוצלת בפועל

CVE-2026-42271

חולשה ב-LiteLLM מאפשרת לכל מי שמחזיק מפתח API להריץ פקודות על שרת ה-AI Gateway

שתי בקשות ב-LiteLLM שנועדו רק לבדוק חיבור לשרת MCP הריצו בפועל כל פקודה שנשלחה אליהן, ומפתח API בסיסי הספיק. הגרסה שסוגרת היא 1.83.7, וגם OpenShift AI נמצא ברשימה.

8.7 · גבוההמנוצלת בפועל

CVE-2024-3393

חבילה זדונית ברכיב DNS Security מפילה את חומת האש של Palo Alto ומכניסה אותה למצב תחזוקה

חולשה ברכיב DNS Security של PAN-OS מאפשרת לתוקף בלי חשבון לאתחל את חומת האש בשליחת חבילה בתעבורה הרגילה, ובחזרות להשבית אותה. אלה הגרסאות שסוגרות אותה.

8.7 · גבוההמנוצלת בפועל

CVE-2026-76418

חולשה בחומות האש של Cisco מפילה את שער ה-VPN דווקא בתצורה עם אימות משני

חולשה בשירות ה-Remote Access SSL VPN של Cisco ASA ו-FTD מאפשרת לתוקף בלי שם משתמש להפיל את חומת האש, אך רק כשמוגדר אימות משני על ה-tunnel group. כך בודקים אם התצורה שלכם בטווח.

8.6 · גבוההמנוצלת בפועל

CVE-2026-96656

חולשה ב-Plex Media Server מאפשרת למנהל השרת להריץ עליו קוד דרך הגדרת ההמרה

חולשה ב-Plex Media Server שמנוצלת בפועל מאפשרת למי שמחזיק בהרשאות מנהל על השרת להשתיל קובץ שהשרת יריץ באתחול הבא. הגרסה שמתקנת אותה היא 1.43.3.10861, וכך בודקים מה רץ אצלכם.

8.6 · גבוההמנוצלת בפועל

CVE-2026-0322

חולשה מנוצלת ב-PAN-OS מעלה חשבון ניהול להרצת קוד בהרשאות root על חומת האש

חולשה בממשק הניהול של PAN-OS מאפשרת לתוקף שהשיג חשבון מאומת להריץ קוד בהרשאות root על חומת האש, וגם על Panorama. היא מנוצלת בשטח, ולהגבלת הגישה לממשק יש כאן תפקיד.

8.6 · גבוההמנוצלת בפועל

CVE-2026-104935

חולשת התחזות ב-Ivanti Connect Secure מאפשרת הרצת פקודות בלי חשבון, והיא מנוצלת בשטח

תוקף שאינו מזוהה יכול לעקוף את בדיקת הזהות בשער Ivanti Connect Secure ולהריץ פקודות על ההתקן. CISA נתנה מועד תיקון ב-16 באוקטובר 2026, ואלה הגרסאות המתקנות.

8.6 · גבוההמנוצלת בפועל

CVE-2025-0994

חולשה ב-Cityworks של Trimble מאפשרת למשתמש מזוהה להריץ קוד על שרת האינטרנט של הארגון

ב-Cityworks מתחת לגרסה 15.8.9, משתמש עם חשבון יכול להריץ קוד על שרת ה-IIS שמריץ את המערכת. אלה הגרסאות המתוקנות ומה שכדאי לבדוק מעבר לעדכון.

8.6 · גבוההמנוצלת בפועל

CVE-2022-43939

כתיבה חלופית של אותו נתיב עוקפת את בדיקת ההרשאות ב-Pentaho

בדיקת ההרשאות ב-Pentaho BA Server הסתמכה על הנתיב כפי שנכתב בבקשה ולא על הצורה המנורמלת שלו, וכך אפשר היה לעקוף אותה בלי חשבון. אלה הגרסאות שסוגרות.

8.6 · גבוההמנוצלת בפועל

CVE-2024-48248

חולשה בתוכנת הגיבוי של NAKIVO מאפשרת לקרוא כל קובץ מהשרת בלי להתחבר

חולשה ב-NAKIVO Backup & Replication מאפשרת לתוקף לא מזוהה למשוך קבצים מהשרת, וביניהם קובץ שמחזיק פרטי אימות בטקסט גלוי. כבר מנוצלת בפועל, והגרסה שסוגרת היא 11.0.0.88174.

8.6 · גבוההמנוצלת בפועל

CVE-2025-30066

הרכיב changed-files ב-GitHub Actions הוחלף בקוד שחשף סודות, וגם תגיות ישנות נפגעו

ב-14 וב-15 במרץ 2025 הופנו כל התגיות של tj-actions/changed-files, מ-v1 ועד v45.0.7, אל commit זדוני שכתב סודות אל יומן ההרצה. הגרסה שסוגרת היא 46.

8.6 · גבוההמנוצלת בפועל

CVE-2025-30154

ה-GitHub Action של reviewdog הורץ במשך פחות משעתיים עם קוד ששפך סודות ליומן

ב-11 במרץ 2025, בין 18:42 ל-20:31 UTC, הכיל reviewdog/action-setup@v1 קוד שכתב סודות אל יומן ההרצה. גם הצמדה לגרסה לא הגנה, וכך בודקים אם נפגעתם.

8.6 · גבוההמנוצלת בפועל

CVE-2025-1976

חולשה ב-Brocade Fabric OS מחזירה הרשאות root למי שכבר מנהל את המתג

ברוקייד הסירה גישת root ממערכת ההפעלה של מתגי האחסון שלה, ובגרסאות 9.1.0 עד 9.1.1d6 מנהל מקומי יכול להחזיר אותה ולהריץ קוד בהרשאות מלאות. הגרסה שסוגרת היא 9.1.1d7.

8.6 · גבוההמנוצלת בפועל

CVE-2025-21479

חולשה ברכיב ה-GPU של קוואלקום מאפשרת להריץ פקודות שהחומרה הייתה אמורה לדחות

חולשה בציון 8.6 ברכיב ה-GPU של שבבי קוואלקום מאפשרת לקוד שרץ על המכשיר לחרוג מההרשאות שלו, והיא כבר מנוצלת בשטח. איך התיקון מגיע בפועל לטלפון אנדרואיד.

8.6 · גבוההמנוצלת בפועל

CVE-2025-21480

שיבוש זיכרון ב-GPU של שבבי קוואלקום מאפשר לקוד מקומי לפרוץ את גבולות האפליקציה

שיבוש זיכרון ב-GPU של שבבי קוואלקום, בציון 8.6, מאפשר לקוד שרץ על המכשיר לחרוג מגבולות האפליקציה שלו. כך בודקים אם עדכון האבטחה בטלפון שלכם כבר כולל את התיקון.

8.6 · גבוההמנוצלת בפועל

CVE-2025-64328

בדיקת חיבור SSH במודול filestore של FreePBX מעבירה קלט לשורת הפקודה

משתמש מחובר בממשק הניהול של FreePBX Endpoint Manager יכול להזריק פקודות דרך בדיקת החיבור ולקבל גישה בהרשאות המשתמש asterisk. התיקון הוא גרסה 17.0.3.

8.6 · גבוההמנוצלת בפועל

CVE-2026-20349

בקשת HTTP אחת מפילה את שירות ה-VPN בחומות האש של Cisco

חולשה בשירות ה-Remote Access SSL VPN של Cisco ASA ו-FTD מאפשרת לתוקף לא מזוהה להפעיל מחדש את חומת האש מרחוק. היא מנוצלת בשטח, וכך בודקים אם אתם חשופים.

8.6 · גבוההמנוצלת בפועל

CVE-2025-9377

חולשה בנתבים ישנים של TP-Link מאפשרת הרצת פקודות דרך עמוד הבקרה

חולשה בנתבי Archer C7 ו-TL-WR841N של TP-Link מאפשרת למי שיש לו גישת ניהול להריץ פקודות על הנתב דרך עמוד הבקרה להורים. הדגמים בסוף חיים, וזה מה שעושים.

8.6 · גבוההמנוצלת בפועל

CVE-2026-34621

חולשה באדובי אקרובט מאפשרת הרצת קוד דרך מסמך PDF שנפתח

חולשה באדובי אקרובט וריידר מאפשרת הרצת קוד כשנפתח מסמך PDF בנוי במיוחד. היא מנוצלת בשטח, והתיקון כבר זמין.

8.6 · גבוההמנוצלת בפועל

CVE-2026-1603

עקיפת אימות ב-Ivanti Endpoint Manager חושפת פרטי גישה שמאוחסנים במערכת

חולשה ב-Ivanti Endpoint Manager מאפשרת לתוקף לא מזוהה לדלות פרטי גישה שמאוחסנים במערכת. היא מנוצלת בשטח.

8.6 · גבוההמנוצלת בפועל

CVE-2026-20230

חולשה במרכזיית סיסקו מאפשרת לכתוב קבצים על השרת ולהגיע להרשאות מלאות

חולשה במרכזיות Cisco Unified Communications Manager מאפשרת לתוקף לא מזוהה לכתוב קבצים על השרת ולהרחיב הרשאות. הניצול דורש שירות שאינו פעיל כברירת מחדל.

8.6 · גבוההמנוצלת בפועל

CVE-2026-106931

חולשה ב-SiteGuard Server Edition שמנוצלת בפועל מאפשרת למשתמש מקומי להגיע להרשאות root

תוקפים כבר מנצלים חולשה ב-SiteGuard Server Edition שמאפשרת למי שיש לו גישה לשרת להריץ פקודות מערכת בהרשאות root או SYSTEM. כך בודקים איזו גרסה רצה אצלכם ומה לעשות עד להתקנת העדכון.

8.5 · גבוההמנוצלת בפועל

CVE-2026-54420

חולשה בתוסף LiteSpeed ל-cPanel מאפשרת ללקוח באחסון שיתופי לחצות אל חשבונות השכנים

חולשת קישורים סימבוליים בתוסף LiteSpeed ל-cPanel, שלפי הרשומה נוצלה בשטח כבר במאי 2026, מאפשרת למי שיש לו חשבון אחסון אחד לחרוג ממנו אל חשבונות אחרים על אותו שרת. אלה הגרסאות המתוקנות.

8.5 · גבוההמנוצלת בפועל

CVE-2026-110936

חולשה ב-Siemens Software Center שמנוצלת בפועל מאפשרת הרצת קוד דרך ספרייה מושתלת

סימנס מאשרת ניצול פעיל של חולשה ב-Siemens Software Center, שמאפשרת למי שכבר נמצא על המחשב להריץ קוד בהרשאות היישום. כל הגרסאות שקדמו ל-V4.0.9.8 חשופות, וכך בודקים מה מותקן אצלכם.

8.4 · גבוההמנוצלת בפועל

CVE-2023-2533

קישור אחד שמנהל PaperCut מחובר לוחץ עליו הספיק כדי לשנות הגדרות אבטחה

חולשה ב-PaperCut NG ו-MF מנצלת את הדפדפן של מנהל מחובר כדי לבצע פעולות בשמו, עד כדי שינוי הגדרות אבטחה והרצת קוד. אלה הגרסאות המתוקנות והצעדים.

8.4 · גבוההמנוצלת בפועל

CVE-2024-1708

חולשה ב-ScreenConnect מאפשרת לכתוב קבצים מחוץ לתיקייה המורשית ולהריץ קוד

חולשת path traversal בכלי הגישה מרחוק ScreenConnect, בכל הגרסאות עד 23.9.7, מאפשרת לתוקף להגיע לקבצים מחוץ לתיקייה שהוקצתה לו ומשם להריץ קוד. הגרסה שסוגרת אותה היא 23.9.8.

8.4 · גבוההמנוצלת בפועל

CVE-2025-8088

חולשה ב-WinRAR מאפשרת הרצת קוד דרך קובץ ארכיון נגוע

חולשה ב-WinRAR שכבר נוצלה בשטח מאפשרת לתוקף להריץ קוד על המחשב ברגע שפותחים קובץ ארכיון שנשלח אליכם. כך בודקים גרסה ומעדכנים ל-7.13.

8.4 · גבוההמנוצלת בפועל

CVE-2025-48595

חולשה באנדרואיד מאפשרת לאפליקציה להשיג הרשאות גבוהות בלי אישור

חולשה במערכת אנדרואיד מאפשרת לקוד שרץ על המכשיר להרחיב הרשאות בלי פעולה של המשתמש. היא מנוצלת בשטח, והעדכון כבר יצא.

8.4 · גבוההמנוצלת בפועל

CVE-2026-55255

חולשה ב-Langflow מאפשרת למשתמש מחובר להריץ זרימות עבודה של אחרים

חולשה בפלטפורמת Langflow מאפשרת למשתמש מזוהה להפעיל זרימות עבודה ששייכות למשתמשים אחרים. היא נמצאת ברשימת החולשות המנוצלות בפועל.

8.4 · גבוההמנוצלת בפועל

CVE-2021-22555

באג בן 15 שנה בליבת לינוקס מאפשר למשתמש מקומי להסלים הרשאות דרך netfilter

כתיבה מחוץ לתחום בקוד ה-netfilter של ליבת לינוקס, שקיימת מאז 2006, מאפשרת הסלמת הרשאות דרך user namespace. התיקון קיים מזמן, והחולשה נוספה לקטלוג המנוצלות באוקטובר 2025.

8.3 · גבוההמנוצלת בפועל

CVE-2025-2783

חולשה בכרום בווינדוס אפשרה לקובץ נגוע לפרוץ מארגז החול של הדפדפן

חולשה בכרום במחשבי ווינדוס אפשרה לתוקף לצאת מהבידוד של הדפדפן דרך קובץ זדוני. הגרסה שסוגרת אותה היא 134.0.6998.177, וכך בודקים מה רץ אצלכם.

8.3 · גבוההמנוצלת בפועל

CVE-2021-32648

חולשה ב-OctoberCMS מאפשרת לתוקף להשתלט על חשבון דרך מנגנון איפוס הסיסמה

תוקף שמבקש איפוס סיסמה לחשבון ב-OctoberCMS ושולח אחריו בקשה בנויה במיוחד נכנס לחשבון בלי להחזיק בסיסמה. החולשה בקטלוג המנוצלות של CISA מאז 2022, והתיקון הוא גרסה 1.1.5 או Build 472.

8.2 · גבוההמנוצלת בפועל

CVE-2025-24989

חולשה ב-Power Pages של מיקרוסופט אפשרה לתוקף לעקוף את בקרת הרישום של האתר

חולשה בשירות Power Pages אפשרה לתוקף להירשם לאתר ולקבל הרשאות שלא נועדו לו. מיקרוסופט תיקנה את השירות מצידה, וזה מה שנותר לבעלי אתרים לבדוק.

8.2 · גבוההמנוצלת בפועל

CVE-2025-58360

חולשה ב-GeoServer מאפשרת לקרוא קבצים מהשרת דרך בקשת מפה

שרת המפות GeoServer מקבל XML בבקשות ומאפשר לתוקף להגדיר בתוכו הפניה לקובץ מקומי ולקבל את תוכנו. החולשה מנוצלת בפועל, והתיקונים הם 2.25.6, 2.26.3 ו-2.27.0.

8.2 · גבוההמנוצלת בפועל

CVE-2025-22225

כתיבה שרירותית לליבת ESXi מאפשרת לתוקף שכבר בתוך תהליך המכונה לצאת מארגז החול

חולשה ב-VMware ESXi מאפשרת למי שכבר השיג הרשאות בתוך תהליך ה-VMX לכתוב לליבת המארח ולשבור את הבידוד. היא מנוצלת בשטח, וזה מה שמעדכנים.

8.2 · גבוההמנוצלת בפועל

CVE-2026-18556

עקיפת הזדהות ב-N-able N-central חושפת את שרת הניהול של ספקי ה-IT

חולשה ב-N-central מאפשרת להגיע למידע במערכת דרך מסלול שעוקף את מסך ההתחברות. זהו הכלי שדרכו ספקי IT מנהלים מחשבים של לקוחות, וזה מה שמייקר אותה.

8.2 · גבוההמנוצלת בפועל

CVE-2026-18577

התיקון של N-able היה חלקי, והחולשה שנשארה מאפשרת גם השתלטות על חשבונות

העדכון הראשון של N-central לא סגר את עקיפת ההזדהות עד הסוף. מה שנשאר פתוח מוביל להשתלטות על חשבונות, וגרסאות עד 2026.3.1 עדיין חשופות.

8.2 · גבוההמנוצלת בפועל

CVE-2026-20045

חולשה קריטית במערכות הטלפוניה של סיסקו מאפשרת השתלטות על השרת מרחוק

תוקף לא מזוהה יכול לשלוח בקשות רשת למערכות Unified Communications Manager ו-Unity Connection של סיסקו ולהריץ פקודות בהרשאת root. כך בודקים אם המערכת מעודכנת.

8.2 · גבוההמנוצלת בפועל

CVE-2026-119977

חולשה בליבת WordPress מאפשרת הרצת קוד על האתר דווקא בזמן העדכון עצמו

בזמן שליבת WordPress מתקינה עדכון מלא היא פורשת את הקבצים לנתיב צפוי מראש שנגיש מהדפדפן, ותוקף שפונה לשם בדיוק אז יכול להריץ קוד על השרת. החולשה נרשמה כמנוצלת בפועל ב-3 בנובמבר 2026.

8.1 · גבוההמנוצלת בפועל

CVE-2016-3081

חולשה ב-Apache Struts מאפשרת הרצת קוד על השרת דרך הגדרה ותיקה שנשארה מופעלת

חולשה ב-Apache Struts מאפשרת הרצת קוד על השרת כשהגדרה בשם Dynamic Method Invocation נשארה מופעלת. כך בודקים אם היא דלוקה אצלכם ומה לכבות.

8.1 · גבוההמנוצלת בפועל

CVE-2021-44207

פרטי אימות שנכתבו בקוד של USAHERDS מאפשרים כניסה לכל התקנה

ב-USAHERDS של Acclaim Systems מוטמעים פרטי אימות קבועים בתוך הקוד, כך שמי שחילץ אותם פעם אחת נכנס לכל התקנה. החולשה מנוצלת בפועל וכמעט אינה רלוונטית לישראל.

8.1 · גבוההמנוצלת בפועל

CVE-2025-27363

באג בספריית הגופנים FreeType מאפשר לקובץ גופן להריץ קוד על המכשיר

קובץ גופן שבנוי בצורה מסוימת גורם לספריית FreeType לכתוב מחוץ לאזור הזיכרון שהקצתה, ומשם אפשר להגיע להרצת קוד. הספרייה יושבת בתוך אנדרואיד ולינוקס, וכך בודקים אם אתם מעודכנים.

8.1 · גבוההמנוצלת בפועל

CVE-2026-87902

חולשה בוורדפרס שכבר מנוצלת מאפשרת לטעון קובץ PHP זר במקום תבנית העמוד

חולשה בוורדפרס שנכנסה לקטלוג החולשות המנוצלות של CISA מאפשרת לפונה שלא הזדהה לגרום לאתר לטעון קובץ PHP אחר במקום תבנית העמוד. מה כבר ידוע ואיך מקטינים את החשיפה.

8.1 · גבוההמנוצלת בפועל

CVE-2010-3962

רצף CSS מסוים הפיל את Internet Explorer לשימוש בזיכרון משוחרר ואפשר הרצת קוד

הרשומה מתארת שימוש בזיכרון אחרי שחרורו ב-Internet Explorer 6, 7 ו-8, שמופעל דרך רצף CSS והמאפיין clip. הציון 8.1 ולא יותר, כי מורכבות התקיפה מסומנת בווקטור כגבוהה.

8.1 · גבוההמנוצלת בפועל

CVE-2026-42016

חולשה ב-JFrog Artifactory מאפשרת למי שמחזיק token מוגבל להסלים הרשאות

Artifactory בהתקנה עצמית בדק מי חתם על ה-token ולא מה מותר לו, וכך אפשר היה להסלים הרשאות. גרסת התיקון היא 7.133.11, והחולשה מנוצלת בשטח.

8.1 · גבוההמנוצלת בפועל

CVE-2025-25249

גלישת חוצץ ב-FortiOS מאפשרת הרצת קוד דרך מנות רשת מעוצבות

חולשה ב-FortiOS וב-FortiSwitchManager מאפשרת לתוקף בלי הזדהות להריץ קוד על המכשיר. כאן הגרסה המתקנת לכל ענף, ומה שקורה דווקא עם ענף 6.4.

8.1 · גבוההמנוצלת בפועל

CVE-2025-40536

עקיפת בקרת גישה ב-SolarWinds Web Help Desk פותחת פונקציות למי שאינו מזוהה

חולשה ב-Web Help Desk מאפשרת לתוקף בלי חשבון להגיע לפונקציונליות מוגבלת במערכת. גרסת התיקון היא 2026.1, ו-CISA נתנה שלושה ימים בלבד לסגור אותה.

8.1 · גבוההמנוצלת בפועל

CVE-2025-3935

חולשת ViewState ב-ScreenConnect מאפשרת הרצת קוד למי שכבר השיג את מפתחות השרת

חולשה בשרתי ScreenConnect עד גרסה 25.2.3 מאפשרת הרצת קוד לתוקף שכבר החזיק במפתחות הפנימיים של השרת. CISA מסמנת אותה כמנוצלת, וכך סוגרים אותה.

8.1 · גבוההמנוצלת בפועל

CVE-2021-23758

ספריית AjaxPro ישנה מאפשרת לתוקף להריץ קוד על שרת האינטרנט

AjaxPro בגרסאות שלפני 21.10.30.1 מרכיבה אובייקטים מנתונים שהגיעו מהדפדפן בלי להגביל אותם, ומאפשרת הרצת קוד על השרת. כמעט חמש שנים אחרי הפרסום CISA סימנה אותה כמנוצלת.

8.1 · גבוההמנוצלת בפועל

מאגר חולשות אבטחה, עמוד 8

מנוצלות בפועל כרגע (625)

// עדכונים למייל