רשומה מ-2021 שנכנסה לקטלוג החולשות המנוצלות בסוף 2025, וזה כבר מספר חלק מהסיפור. ב-ScadaBR, מערכת ניטור ובקרה לציוד תעשייתי שמופעלת דרך הדפדפן, משתמש שכבר מחובר יכול להעלות קובץ JSP דרך מסך עריכה אחד ולגרום לשרת להריץ אותו. הציון 8.8.
מה החולשה?
קובץ JSP אינו קובץ שהשרת מגיש כמו תמונה או מסמך. הוא קובץ שהשרת מריץ. כלומר ברגע שקובץ כזה יושב במקום הנכון ומישהו פונה אליו, הקוד שבתוכו רץ, בהרשאות שבהן השרת עצמו רץ.
מכאן מובן למה העלאת קבצים היא נקודה רגישה. מערכת שמאפשרת להעלות קובץ אמורה לבדוק לא רק את גודלו אלא גם מה הוא, ולוודא שהוא נוחת במקום שבו הוא נשאר נתון ולא הופך להוראה. לפי הרשומה, המסך view_edit.shtm ב-ScadaBR אינו עושה את ההבחנה הזאת. הסיווג הרשמי הוא העלאת קובץ מסוכן ללא הגבלה.
מה שהחולשה כן דורשת הוא חשבון. הדירוג מסמן הרשאות נמוכות ולא היעדר הרשאות, ולכן התוקף צריך להיות מחובר. זה פחות מרגיע ממה שזה נשמע, כי החשבון שנדרש הוא חשבון רגיל במערכת ולא חשבון ניהול. שאר הדירוג חמור: גישה מהרשת, מורכבות נמוכה, בלי צורך בפעולה של מישהו אחר, ופגיעה גבוהה בסודיות, בשלמות ובזמינות.
במערכת שמפעילה ציוד, שלמות וזמינות אינן מושגים מופשטים.
מי מושפע?
הרשומה מגדירה שני קווים לפי מערכת ההפעלה: ScadaBR עד 0.9.1 ועד בכלל על Linux, ועד 1.12.4 ועד בכלל על Windows.
היא אינה נוקבת בגרסה מתקנת, וזה הפרט המעשי החשוב ביותר כאן. המקורות שהיא מפנה אליהם הם דיון בפורום של המוצר ו-pull request בפרויקט Scada-LTS, ולא הודעת אבטחה עם מספר גרסה שאליו מעדכנים.
בישראל מערכות מהסוג הזה יושבות במפעלים, במתקני מים ובמערכות בקרת מבנים, ולרוב הן אינן מתעדכנות בקצב שבו מתעדכן שרת אינטרנט. משתמש פרטי אינו נוגע בזה. מי שכן צריך לדעת הוא האחראי על רשת התפעול, ולא תמיד מדובר באותו אדם שאחראי על רשת המחשבים.
האם מנוצלת בפועל?
כן. ב-3 בדצמבר 2025 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-24 בדצמבר 2025.
והפער כאן יוצא דופן. הרשומה ב-NVD פורסמה ב-11 ביוני 2021, וארבע שנים וחצי אחר כך היא נכנסה לקטלוג. חולשה ישנה שנכנסת לקטלוג אינה חולשה שהתגלתה עכשיו, אלא חולשה שמישהו מצא לה שימוש עכשיו.
בין המקורות מופיע גם קוד ניצול שפורסם ב-Packet Storm, כלומר הדרך לנצל את החולשה הזאת פומבית.
מה עושים?
אין כאן מספר גרסה ללכת אליו, ולכן העבודה מתחילה במקום אחר. בררו אם ScadaBR רץ אצלכם בכלל, ואם כן, האם הממשק שלו נגיש מחוץ לרשת התפעול. חולשה שמחייבת חשבון והעלאת קובץ דרך הדפדפן נעצרת ברובה כשהדפדפנים שיכולים להגיע אליה יושבים ברשת סגורה.
צמצמו את מי שמחזיק חשבון במערכת והחליפו סיסמאות לחשבונות שנשארו. הרשומה מדברת על משתמש מחובר, ולכן כל חשבון פעיל שאיש אינו משתמש בו הוא נקודת כניסה פתוחה.
עברו על התיקיות שאליהן המערכת שומרת קבצים שהועלו וחפשו בהן קובצי JSP שאינכם מזהים. זה מה שניצול של החולשה משאיר אחריו.
ואם אתם מפעילים גרסה שנמצאת בטווח, התייחסו למוצר כאל תוכנה שאין לה תיקון זמין והתחילו לברר מול מי שהתקין אותו מה החלופה. הדיון בפורום של המוצר וה-pull request בפרויקט Scada-LTS הם המקורות שהרשומה מפנה אליהם.