בסורק שהתוקפים הפעילו יש יותר מ-1,300 סקריפטים, וההתראה המשותפת מ-8 באוקטובר 2026 מצביעה על שמונה חולשות שהם ניצלו בהצלחה. חמש מהן נכנסו באותו יום לקטלוג ה-KEV של CISA, רשימת החולשות שידוע כי מנצלים אותן בפועל. הוותיקה שבהן קיבלה מספר CVE ב-2015.

סקירה כללית

אין בין חמש החולשות מוצר משותף. CVE-2015-3306 יושבת ב-ProFTPD, שרת FTP על מכונות לינוקס, CVE-2015-5477 ב-BIND, שרת ה-DNS הנפוץ, CVE-2021-3199 ב-ONLYOFFICE Document Server, ו-CVE-2023-22894 ב-Strapi, מערכת לניהול תוכן. CVE-2016-3081 היא ב-Apache Struts, ועובדת רק כשההגדרה Dynamic Method Invocation פעילה. מה שמחבר ביניהן הוא המקום: שירותים בקצה האינטרנטי של הארגון, שמותקנים פעם אחת ואחר כך אף אחד לא נוגע בהם.

הציונים מספרים סיפור משלהם. לשתיים מהחמש, ב-ProFTPD וב-BIND, אין בכלל ציון CVSS v3 מטעם NVD. הציון 10 שמופיע לצד חולשת ה-ProFTPD הגיע מ-CISA, שמוסיפה ציונים לרשומות ותיקות כגוף מעשיר (ADP). הנמוכה שבחמש, זו של Strapi, קיבלה 4.9 מפני שהיא דורשת חשבון ניהול מראש. היא בקטלוג בכל זאת.

מזהה: CVE-2023-22894
סוג: שמירת מידע רגיש בטקסט גלוי (CWE-312)
מוצר: Strapi, מערכת לניהול תוכן
גרסאות מושפעות: 3.2.1 עד 4.8.0, לא כולל 4.8.0. התיאור ב-NVD וההתראה נוקבים ב-4.5.5, ולכן כל מה שמתחת ל-4.8.0 חשוף
גרסה מתוקנת: 4.8.0
ניצול בפועל: כן, נוספה ל-KEV ב-8 באוקטובר 2026

ציר זמן

13 באפריל 2015: ב-Exploit-DB מתפרסם PoC לחולשת ה-ProFTPD.
18 במאי 2015: NVD מפרסמת את CVE-2015-3306, הוותיקה מבין החמש.
2017: לפי ההתראה, זה המועד המוקדם ביותר שבו זוהה שימוש בסורק MicroScan.
אמצע ינואר 2021: המועד המוקדם שההתראה מייחסת לגישה הראשונית לרשתות.
8 באוקטובר 2026: ההתראה AA26-281A מתפרסמת, וחמש החולשות נכנסות ל-KEV עם מועד תיקון ב-11 באוקטובר.

איך הניצול עובד

MicroScan הוא אפליקציית ווב בפייתון שנושאת, לפי ההתראה, יותר מ-1,300 סקריפטים לבדיקת חולשות. כל סקריפט בודק חולשה אחת ידועה, המפעיל מזין כתובות ומקבל בחזרה מי נענה. סורק כזה לא מחפש חולשות חדשות אלא את מי שלא עדכן, וזה מסביר את הגיל של החמש. הניצול עצמו משתנה מאחת לאחרת: ב-ProFTPD מודול בשם mod_copy מאפשר להעתיק קבצים על השרת בלי שום הזדהות, וב-ONLYOFFICE פרמטר להעלאת תמונה מקבל נתיב שמוביל אל מחוץ לתיקיית היעד, ולסוג החולשה הזה קוראים Path Traversal, שמאפשרת כתיבת קובץ והרצת קוד.

ניתוח ציון ה-CVSS

ציון CVSS: 4.9

זה הציון שקיבלה חולשת ה-Strapi מ-NVD, הנמוך מבין שמונה החולשות שבהתראה, והוא משקף דרישה אחת: התוקף צריך חשבון ניהול מראש. CISA נתנה לאותה חולשה 7.2, ובקטלוג היא יושבת לצד חולשות בציון 10, מפני שמה שמכניס לשם הוא ראיה לניצול ולא גובה הציון.

איפה למצוא Proof of Concept (PoC)

לחמש האלה אין בעיית זמינות של PoC, וזה חלק מהעניין. הקוד לחולשת ה-ProFTPD מתפרסם ב-Exploit-DB מאז 13 באפריל 2015, לפני שהרשומה ב-NVD נפתחה. לניתוח הקמפיין עצמו, ההתראה AA26-281A היא המקור המלא, כולל סימני ההיכר.

מועד התיקון שקבעה CISA, 11 באוקטובר, נמדד מהיום שבו פורסמה ההתראה. התיקונים עצמם מחכים, בחלק מהמקרים, אחת עשרה שנים.