לא כל חולשה שתוקפים משתמשים בה מקבלת ציון גבוה. זו מקבלת 5.4 מתוך 10, והיא בכל זאת נמצאת בקטלוג החולשות שידוע כי מנצלים אותן בשטח. מה שהיא מאפשרת הוא לשמור קוד בתוך מסך ההגדרות של ScadaBR, כך שירוץ בדפדפן של מי שפותח את המסך אחר כך.

מה החולשה?

דפדפן אינו מבדיל בין טקסט שהמערכת כתבה לבין טקסט שמשתמש הקליד, אלא אם המערכת מסמנת את ההבדל בעצמה. אם משתמש מקליד לתוך שדה משהו שנראה כמו קוד, והמערכת שומרת אותו ואחר כך מציגה אותו כפי שהוא, הדפדפן של הצופה יריץ אותו. כשהקוד נשמר במערכת וממתין שם לצופה הבא, קוראים לזה stored XSS.

ההבדל בין זה לבין קישור זדוני שמישהו שולח לכם הוא מי צריך לעשות מה. כאן התוקף אינו צריך לשכנע אף אחד ללחוץ. הוא מכניס את הקוד פעם אחת אל המסך system_settings.shtm, והקוד יושב שם ומחכה שמנהל ייכנס למסך ההגדרות, דבר שקורה ממילא ובלי קשר אליו.

הדירוג מסביר למה 5.4 אינו כל הסיפור. הפגיעה עצמה מסומנת כנמוכה בסודיות ובשלמות ואינה מסומנת כלל בזמינות, ונדרשות גם הרשאות וגם פעולה של משתמש. מה שכן, היקף ההשפעה מסומן כמשתנה: הקוד רץ בדפדפן של הקורבן ולא בשרת, כלומר הוא יוצא מהרכיב הפגיע אל ההקשר של מי שמסתכל.

וקוד שרץ בדפדפן של מנהל מחובר יכול לעשות את מה שאותו מנהל יכול לעשות.

מי מושפע?

אותם שני קווים שהרשומה מגדירה למוצר: ScadaBR עד 0.9.1 ועד בכלל על Linux, ועד 1.12.4 ועד בכלל על Windows. גם כאן אין ברשומה גרסה מתקנת.

מי שנוגע בזה הוא מי שמפעיל את המערכת, ובעיקר מי שנכנס אליה בתור מנהל. החולשה הזאת אינה מסוכנת לשרת בפני עצמו, היא מסוכנת לאדם שיושב מולו.

בישראל, כמו בכל מקום, מערכות בקרה תעשייתית אינן מוצר שנפגשים איתו בבית. מי שצריך לקרוא את זה הוא מי שמתחזק רשת תפעול, ובמיוחד מי שמניח שדפדפן בתוך רשת סגורה הוא סביבה בטוחה.

האם מנוצלת בפועל?

כן, וזה החלק המעניין ברשומה הזאת. ב-28 בנובמבר 2025 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, שמרכז חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-19 בדצמבר 2025. הרשומה עצמה פורסמה ב-NVD ב-11 ביוני 2021.

חולשה בציון 5.4 שנכנסת לקטלוג הזה היא תזכורת שימושית: הציון מודד חומרה טכנית, לא כדאיות לתוקף. בין המקורות מופיע ניתוח של Forescout.

מה עושים?

אין גרסה מתקנת ברשומה, ולכן הצעדים כאן הם בדיקה והגבלה ולא עדכון.

התחילו במסך ההגדרות עצמו. אם אתם מפעילים ScadaBR, היכנסו אל system_settings.shtm ועברו על השדות שבו. קוד שנשמר שם קודם ימשיך לרוץ אצל כל מי שפותח את המסך גם אחרי שהתוקף כבר איננו, ולכן ניקוי השדות הוא פעולה ממשית ולא רק בדיקה.

צמצמו את ההרשאות. החולשה דורשת חשבון כדי לשמור את הקוד מלכתחילה, ולכן השאלה מי רשאי לכתוב לתוך מסך ההגדרות היא השאלה שמכריעה כאן.

ואל תסתמכו על כך שהמערכת יושבת ברשת פנימית. הקוד רץ בדפדפן של המנהל, והדפדפן הזה יושב בדרך כלל על עמדה שרואה גם דברים אחרים. אם אפשר, הפרידו בין העמדה שממנה ניגשים למערכת הבקרה לבין העמדה שממנה גולשים ברשת.