בנתבים הסלולריים מסדרת AirLink של Sierra Wireless, מהסוג שמחבר לאינטרנט אתרים מרוחקים, ציוד תעשייתי ורכבי שירות, קיימת חולשה בממשק הניהול שמאפשרת להעלות קובץ ולגרום לנתב להריץ אותו. הציון הוא 8.8 מתוך 10. מה שמעניין כאן הוא התאריכים: החולשה פורסמה ב-2019, ורק בדצמבר 2025 היא נכנסה לרשימת החולשות שמנוצלות בפועל.

מה החולשה?

לממשק הניהול של הנתב יש עמוד שנועד לקבל קבצים, למשל לצורך עדכון או הגדרה. עמוד כזה אמור לבדוק מה בדיוק הגיע אליו, לאן הוא נשמר, ובעיקר לוודא שמה שנשמר לא יוכל לרוץ בעצמו.

הבדיקות האלה חסרות. אפשר לשלוח בקשה שמעלה קובץ שמכיל קוד, לשמור אותו במקום שאליו שרת הווב של הנתב מפנה, ואז פשוט לפנות אליו בדפדפן. הנתב מריץ אותו. הקטגוריה הזאת נקראת העלאת קובץ בלתי מוגבלת, והיא אחת הדרכים הישירות ביותר להשתלט על ציוד רשת.

כדי להגיע לשם צריך בקשה מזוהה, כלומר חשבון כלשהו בממשק הניהול. זה מוריד את הרף מעט, אבל לא הרבה: ממשק ניהול שנגיש מהאינטרנט הוא ממשק שאפשר לנסות עליו התחברויות שוב ושוב.

מי מושפע?

לפי הרשומה, מערכת ההפעלה ALEOS שמריצה את הנתבים האלה, בגרסאות שקדמו ל-4.4.9, ל-4.9.4 ול-4.11.0, בהתאם לדגם. ברשימת הדגמים מופיעים בין השאר ES450, ES440, GX400, GX440, LS300, LX40 ו-LX60.

זה אינו ציוד ביתי. הוא יושב בעמדות מרוחקות של חברות תשתית, במערכות בקרה תעשייתיות, במצלמות שדה ובכלי רכב. בישראל הוא מופיע באותן סביבות, ודווקא שם הקושי גדול: מכשיר שהותקן באתר מרוחק כדי לעבוד לבד הוא מכשיר שאף אחד לא נוגע בו במשך שנים.

האם מנוצלת בפועל?

כן. ב-12 בדצמבר 2025 נכנסה החולשה לקטלוג ה-KEV של CISA, קטלוג החולשות שידוע כי תוקפים מנצלים אותן. בין המקורות ברשומה יש דיווח על תקיפות נגד נתבים תעשייתיים והתראה של גוף התגובה לאירועי סייבר בתחום הבקרה. שבע שנים חלפו בין הפרסום לבין הכניסה לקטלוג, וזה מלמד משהו על אורך החיים של ציוד כזה: החולשה לא נעלמה, פשוט לקח זמן עד שמישהו טרח לנצל אותה בהיקף.

מה עושים?

בדקו איזו גרסת ALEOS רצה על הנתבים שלכם ועדכנו לגרסה שמעבר לטווח שמופיע בתיבת המידע הטכני, כלומר 4.4.9, 4.9.4 או 4.11.0 ומעלה, לפי הדגם.

הוציאו את ממשק הניהול מהאינטרנט. הגישה אליו צריכה להיות מהרשת הפנימית או דרך VPN בלבד, וזו ההגנה שמחזיקה גם מול חולשות עתידיות באותו ממשק.

החליפו את סיסמאות הניהול של המכשירים, במיוחד אם הם היו נגישים מבחוץ. החולשה דורשת חשבון, ולכן חשבון עם סיסמה חלשה או משותפת הוא מה שמפריד בין נתב חשוף לנתב שנפרץ.

ולבסוף, עשו רשימה. ארגון שאינו יודע כמה נתבים כאלה יש לו והיכן הם מותקנים אינו יכול לעדכן אותם, וזה הכשל שחוזר כאן יותר מכל חולשה בודדת.