הרשומה ב-NVD פורסמה ב-21 בנובמבר 2019. ב-3 בפברואר 2026, קצת יותר משש שנים אחר כך, היא נכנסה לקטלוג החולשות שידוע שתוקפים מנצלים בפועל. מדובר ב-FreePBX, שכבת הניהול שמעל מרכזיות Asterisk, ובחולשה שמאפשרת להגיע לממשק הניהול מרחוק בלי לעבור את מסך ההתחברות. הציון 9.8.

מה החולשה?

ממשק הניהול של מרכזייה הוא המקום שבו מוגדרים השלוחות, קווי היציאה החוצה וכללי החיוג. הכניסה אליו אמורה לעבור דרך בדיקת זהות. בגרסאות שברשומה הבדיקה הזאת אינה נאכפת כראוי, ובקשה מרוחקת מגיעה אל הממשק בלי שהוכיחה מי היא. בסיווג הרשמי זה נקרא כשל באימות הזהות. אחד המסמכים של הפרויקט עצמו, המקושר ברשומה, נושא כותרת שמתארת בדיוק את זה: עקיפת הזדהות של מנהל מרחוק.

הרשומה עצמה קצרה ואינה מתארת את המנגנון מעבר לכך. מה שהיא כן מספקת הוא הפניה לשני פרסומים של הפרויקט, אחד בפורום הקהילה תחת המזהה SEC-2019-001 והשני בוויקי שלו.

למה מרכזייה היא יעד מבוקש? בין המקורות ברשומה מופיע מחקר של Check Point שעוסק בהפיכת שרתי Asterisk שנפרצו למקור הכנסה. כלומר לא מדובר בפריצה לשם הפריצה, אלא במערכת שיש לה ערך כספי ישיר למי שמשתלט עליה.

הווקטור מסביר את הציון: מרחוק, מורכבות נמוכה, בלי הרשאות ובלי מעורבות של משתמש, ושלושת מדדי הנזק גבוהים.

מי מושפע?

הרשומה מציינת שלושה טווחים, לפי ענף הגרסה: 13.0.0.0 עד 13.0.197.13, 14.0.0.0 עד 14.0.13.11, ו-15.0.0.0 עד 15.0.16.26. מי שנמצא מעל התקרה של הענף שלו אינו בטווח.

בישראל FreePBX נפוץ בעסקים קטנים ובינוניים, במוקדי שירות ובארגונים שעברו לטלפוניה מבוססת רשת בלי חוזה מול ספק גדול. הוא מותקן פעם אחת, בדרך כלל בידי אינטגרטור חיצוני, ואז ממשיך לעבוד בלי שאיש חושב עליו. בדיוק בגלל זה קיימות היום התקנות שנמצאות בתוך הטווחים האלה.

האם מנוצלת בפועל?

כן. ב-3 בפברואר 2026 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-24 בפברואר 2026.

כאן חשוב לדייק. הכניסה לקטלוג אומרת שיש ראיה לניצול, לא מתי הניצול התחיל. חולשה בת שש שנים שנכנסת לרשימה עכשיו מעידה בעיקר על דבר אחד: המערכות החשופות עדיין נמצאות שם.

מה עושים?

בדקו קודם באיזה ענף ובאיזו גרסה אתם, כי התשובה שונה לכל ענף. הפרטים והתיקון מופיעים בהודעת הפרויקט SEC-2019-001 ובעמוד הוויקי שנפתח לאירוע.

הוציאו את ממשק הניהול מהאינטרנט הפתוח. החולשה נפתחת בגישה מרוחקת אל הממשק, ולכן הגבלה שלו לרשת הפנימית או ל-VPN מצמצמת אותה בפועל עוד לפני שמספיקים לעדכן. מרכזייה צריכה לקבל שיחות מבחוץ. ממשק הניהול שלה לא.

ואם המערכת הריצה גרסה בטווח במשך תקופה ארוכה, עברו על הגדרות החיוג ועל פירוט השיחות. מה שמחפשים הוא יעדים וכללי יציאה שאינכם יכולים לשייך לאדם ולהחלטה.