במכשיר ההקלטה הרשתי DS-2105 Pro של Digiever, מהסוג שמחובר למצלמות אבטחה ושומר את הצילומים, קיימת חולשה שמאפשרת לתוקף להריץ עליו פקודות משלו. הציון הוא 8.8 מתוך 10. הנקודה החשובה כאן שונה מרוב הדפים בסעיף הזה: היצרן כבר אינו תומך בדגם, ולכן אין עדכון שסוגר את החולשה.
מה החולשה?
לממשק הניהול של המכשיר יש עמוד שאחראי על הגדרת אזור הזמן. העמוד הזה מעביר את מה שהמשתמש הקליד אל מערכת ההפעלה של המכשיר, כדי שזו תבצע את השינוי בפועל.
מה שחסר הוא ההפרדה בין נתונים לפקודות. במקום לקבל שם של אזור זמן ותו לא, העמוד מוכן לבלוע גם פקודות שנתחבו לתוך אותו שדה, ומערכת ההפעלה מריצה אותן. לצורה הזאת קוראים command injection, הזרקת פקודות דרך שדה קלט שהיה אמור להכיל טקסט תמים.
התוצאה היא שליטה על המכשיר: מי שמריץ פקודות על מקליט הווידאו מגיע גם לצילומים וגם לעמדה נוחה בתוך הרשת שאליה הוא מחובר.
מי מושפע?
מכשירי DS-2105 Pro ו-DS-2105 Pro Plus עם קושחה בגרסה 3.1.0.71-11. רשומת NVD מציינת במפורש שהחולשה נוגעת למוצרים שהיצרן כבר אינו תומך בהם.
בישראל מדובר בציוד נישתי יחסית, שמופיע בעיקר במערכות מצלמות של עסקים קטנים, מחסנים ובנייני מגורים, לרוב כזה שהותקן פעם על ידי טכנאי חיצוני ומאז לא נגעו בו. זו בדיוק הקטגוריה שהופכת מכשירים כאלה ליעד: הם מחוברים לאינטרנט, אף אחד לא עוקב אחריהם, ואין מי שיוציא להם עדכון.
האם מנוצלת בפועל?
כן. ב-22 בדצמבר 2025 נוספה החולשה לקטלוג ה-KEV של CISA, רשימת החולשות שידוע כי תוקפים מנצלים אותן בשטח. שלוש חברות מחקר שונות פרסמו עליה ניתוחים, ובהם כזה שמתאר רשת מכשירים נגועים שנבנתה ממכשירי IoT. הקישורים מופיעים בתיבת המידע הטכני.
מה עושים?
אין כאן עדכון להתקין, ולכן הצעד הראשון הוא לבדוק אם מכשיר כזה מותקן אצלכם ובאיזו קושחה הוא רץ.
הפעולה שמצמצמת את הסיכון מיד היא לנתק את ממשק הניהול של המכשיר מהאינטרנט. אם הוגדרה לו הפניית פורט בנתב כדי לצפות בצילומים מרחוק, בטלו אותה, ובמקומה השתמשו בחיבור VPN אל הרשת הביתית או המשרדית.
הפתרון היציב היחיד הוא החלפת המכשיר בדגם שהיצרן שלו עדיין משחרר עדכוני אבטחה. עד שזה קורה, בודדו אותו ברשת נפרדת מהמחשבים והטלפונים, כדי שמי שישתלט עליו לא יקבל איתו גישה לשאר המכשירים.