ONLYOFFICE Document Server, הרכיב שמאפשר לערוך מסמכי אופיס בדפדפן על שרת של הארגון עצמו, מכיל חולשה שמאפשרת לתוקף מרוחק לכתוב קובץ לנתיב שהוא בוחר על השרת ומשם להריץ קוד. אין צורך בהזדהות. ב-8 באוקטובר 2026 נכנסה החולשה לרשימת החולשות שידוע כי הן מנוצלות בפועל, חמש שנים אחרי שתוקנה.
מה החולשה?
כשמשתמש מעלה תמונה למסמך, השרת שומר את הקובץ בתיקייה שמיועדת לכך. את שם הקובץ והנתיב השרת לוקח מתוך הבקשה עצמה, והוא לא בדק אותם כראוי.
ברגע שהבקשה מכילה את הרצף של שתי נקודות ולוכסן, שמשמעותו במערכות קבצים היא לעלות תיקייה אחת למעלה, הקובץ נשמר מחוץ לתיקיית התמונות. תוקף שמכוון את הקובץ למקום שממנו השרת מריץ קוד מקבל הרצת קוד על המכונה. לטכניקה הזאת קוראים Path Traversal.
נקודה אחת ברשומה של NVD שווה תשומת לב: הניצול מתואר שם כרלוונטי כשהשרת מוגדר לעבוד עם JWT, מנגנון החתימה שמאמת בקשות בין רכיבי המערכת. כלומר התצורה שנחשבת למאובטחת יותר היא זאת שמופיעה ברשומה.
מי מושפע?
כל התקנה של ONLYOFFICE Document Server בגרסה שלפני 5.6.3.
מדובר בשרת שארגונים מקימים אצלם כדי לא לשלוח מסמכים לענן של חברה אחרת, ולכן הוא יושב בדיוק במקום שבו נמצאים המסמכים הרגישים: חוזים, גיליונות שכר, טיוטות. בישראל ההתקנות האלה נפוצות בעיקר בארגונים שמחויבים להחזיק מסמכים בתוך הבית, ובצוותי IT שהעדיפו שרת עריכה משלהם על פני שירות ענן.
האם מנוצלת בפועל?
כן, וזה חדש. ב-8 באוקטובר 2026 צירפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הרשימה שמסמנת חולשות שיש עליהן עדות לניצול ממשי. המועד שנקבע לגופים פדרליים לטפל בה הוא 11 באוקטובר 2026.
התוספת לקטלוג מאוחרת, אבל הכלים לניצול אינם חדשים. ברשומה של NVD מופיעים שני פרסומים פומביים של קוד שמדגים את הניצול.
מה עושים?
עדכנו את Document Server לגרסה 5.6.3 או חדשה ממנה. יומן השינויים של הפרויקט מציין את התיקון בגרסה הזאת.
אם אינכם יודעים באיזו גרסה אתם, זה הדבר הראשון לבדוק. גרסה 5.6.3 יצאה ב-2021, כך שכל התקנה שלא נגעו בה מאז חשופה.
עד לעדכון, אל תשאירו את השרת נגיש מהאינטרנט הפתוח. שרת לעריכת מסמכים אינו צריך להיות פתוח לעולם, ודי בהגבלה לרשת הארגונית או לחיבור VPN כדי להוציא את הסורקים האוטומטיים מהתמונה.
ואם השרת כן היה חשוף, חפשו קבצים שנכתבו בתיקיות שאינן אמורות לקבל העלאות.