ProFTPD, שרת FTP נפוץ על מכונות לינוקס, מכיל חולשה שמאפשרת לכל מי שמגיע אליו לקרוא ולכתוב קבצים כרצונו, בלי שם משתמש ובלי סיסמה. היא תוקנה ב-2015, וב-8 באוקטובר 2026 נוספה לרשימת החולשות שתוקפים מנצלים בפועל. הניצול שלה פשוט במידה חריגה.
מה החולשה?
שרת FTP נועד להעביר קבצים, ובדרך כלל הוא מבקש שם משתמש וסיסמה לפני שהוא מסכים לעשות משהו. ב-ProFTPD יש מודול בשם mod_copy שמוסיף שתי פקודות, SITE CPFR ו-SITE CPTO, שנועדו להעתיק קובץ ממקום למקום בתוך השרת בלי להוריד אותו ולהעלות מחדש.
הבאג הוא שהפקודות האלה לא נבדקו מול ההרשאות. השרת מקבל אותן גם ממי שלא הזדהה, ומפעיל אותן על כל נתיב שיתבקש. כלומר אפשר להעתיק קובץ מתוך מערכת הקבצים של השרת למקום שממנו אפשר להוריד אותו, או לכתוב תוכן לקובץ שהשרת יקרא ממנו בהמשך.
סוג הכשל מסווג כבקרת גישה לקויה, והוא הסוג הפשוט מכולם. לא חסרה כאן בדיקה של הקלט, חסרה הבדיקה מי בכלל שואל.
מי מושפע?
לפי הרשומה, ProFTPD בגרסה 1.3.5.
זה נשמע כמו טווח צר, והוא באמת צר, אבל 1.3.5 הייתה הגרסה שנכנסה להפצות לינוקס באותה תקופה והיא שרדה שנים על שרתים שלא שודרגו. מי שמפעיל שרת קבצים ותיק, מכונת גיבוי, או שרת שהוקם פעם כדי להעביר קבצים מול ספק חיצוני ונשאר דולק, הוא הקהל של הדף הזה.
בישראל חשיפה של FTP נפוצה דווקא במקומות שאינם ארגוני הייטק: עסקים שמעבירים קבצים לבית דפוס או ללקוח, מצלמות ומערכות שמעלות הקלטות לשרת, ושרתי אחסון בבתי עסק קטנים. השירות עובד, ולכן אין למי שמפעיל אותו סיבה לגעת בו.
האם מנוצלת בפועל?
כן. ב-8 באוקטובר 2026 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שבה מסומנות חולשות שיש ראיות לשימוש בהן בידי תוקפים, עם מועד טיפול לגופים פדרליים ב-11 באוקטובר 2026.
כאן גם כדאי לומר את החלק הפחות נוח. ברשומה של NVD מופיעים שני פרסומים של קוד ניצול ב-Exploit-DB משנת 2015. חולשה שאפשר להפעיל בשתי פקודות טקסט, עם קוד מוכן שמסתובב ברשת, היא מהסוג שנסרק אוטומטית ואינו מצריך תוקף מתוחכם.
מה עושים?
עדכנו את ProFTPD לגרסה חדשה מ-1.3.5. אם השרת הותקן מהפצת לינוקס, העדכון זמין במנהל החבילות, וברשומה מופיעות הודעות העדכון של Fedora מ-2015 כדוגמה.
אם אי אפשר לעדכן עכשיו, כבו את המודול mod_copy. בלעדיו הפקודות SITE CPFR ו-SITE CPTO אינן קיימות, והניצול הספציפי הזה נסגר.
בדקו אם השרת בכלל צריך להיות נגיש מהאינטרנט. שרת FTP שמשמש להעברת קבצים מול ספק אחד יכול לקבל גישה מכתובת אחת, לא מכל העולם.
ואם השרת הזה חשוף מאז 2015, אל תסתפקו בעדכון. חולשה שמאפשרת לכתוב קבצים משמשת בדיוק כדי להשאיר דלת אחורית, ולכן צריך לעבור על מה שיושב על השרת היום ועל רשימת המשתמשים שבו.