Configuration Manager הוא הכלי של מיקרוסופט שדרכו ארגונים מנהלים את המחשבים שלהם: מפיצים עדכונים, מתקינים תוכנה ואוכפים הגדרות. חולשה בו קיבלה 9.8 מתוך 10, והיא מאפשרת לתוקף להריץ קוד על השרת בלי להזדהות. מיקרוסופט מסווגת אותה כהרצת קוד מרחוק, ו-NVD מסמן את שורש הבעיה כהזרקת SQL.

מה החולשה?

התיאור ברשומה קצר ולמעשה כולל רק את שם החולשה. את הפרטים הטכניים מיקרוסופט לא פרסמה, וזו הפרקטיקה הרגילה שלה במקרים כאלה. מה שכן פורסם הוא הסיווג, CWE-89, כלומר SQL Injection.

SQL Injection הוא מצב שבו ערך שהמשתמש שולח משתלב בתוך שאילתה למסד הנתונים בלי שסוננו בו התווים שיכולים לשנות את מבנה השאילתה. במקום שהערך ייקרא כנתון, חלק ממנו נקרא כפקודה. Configuration Manager נשען על מסד נתונים מרכזי שמחזיק את המידע על כל התחנות המנוהלות, ולכן שאילתה שנשלטת בידי התוקף היא דרך ישירה פנימה.

הצירוף בין השניים הוא מה שמייצר את הציון. הווקטור אומר שהתקיפה נעשית דרך הרשת, בלי פרטי אימות ובלי שנדרשת פעולה מאדם נוסף, והתוצאה היא הרצת קוד. ומכיוון שמדובר בשרת שמנהל את שאר המחשבים בארגון, מי שמשתלט עליו מקבל דריסת רגל בכל מה שהשרת הזה מנהל.

בכוונה לא נכתב כאן יותר מזה. מיקרוסופט לא פרסמה את מנגנון הניצול, ואין טעם להשלים אותו בניחוש.

מי מושפע?

NVD מסמן את Configuration Manager בגרסאות 2403, 2409 ו-2503. הרשומה אינה כוללת טווח גרסאות מפורט מעבר לכך, ולכן קביעת המצב המדויק אצלכם צריכה להיעשות מול דף החולשה של מיקרוסופט, שמקושר בתיבת המידע הטכני בתחתית העמוד.

זהו מוצר של ארגונים ולא של משתמשים פרטיים. בישראל הוא נפוץ בחברות בינוניות וגדולות, במגזר הציבורי ובכל מקום שבו מחלקת IT מנהלת מאות תחנות Windows. אם אתם עובדים בארגון כזה, סביר שהמחשב שלכם מנוהל דרך המערכת הזאת גם אם מעולם לא שמעתם את שמה. הטיפול אינו בידיכם, אבל החולשה בהחלט נוגעת אליכם.

האם מנוצלת בפועל?

כן. ב-12 בפברואר 2026 הכניסה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV, רשימת החולשות שידוע שתוקפים משתמשים בהן בשטח, עם מועד תיקון לגופים פדרליים עד 5 במרץ 2026.

הרשומה פורסמה באוקטובר 2024, כשנה ורבע לפני הסימון. שרת ניהול הוא מטרה מועדפת בדיוק בגלל מה שהוא: מי שמגיע אליו אינו צריך לתקוף כל תחנה בנפרד, כי הכלי שנועד להפיץ תוכנה לכל הארגון עושה את העבודה במקומו.

מה עושים?

היכנסו לדף החולשה של מיקרוסופט, המקושר בתיבת המידע הטכני בתחתית העמוד. שם מופיע העדכון המדויק לכל גרסה נתמכת, וזה המקור היחיד שאפשר לעבוד לפיו כאן, כי הרשומה ב-NVD אינה מפרטת טווחי גרסאות.

בדקו באיזו גרסה אתם. בקונסולת Configuration Manager, מסך אודות מציג את מספר הגרסה, והשוו אותו ל-2403, ל-2409 ול-2503 שמסומנות ברשומה. אם אתם בגרסה שאינה ברשימה, זה עדיין אינו אומר שאתם מחוץ לתמונה, ודף מיקרוסופט הוא שיקבע.

בזמן שהעדכון מתוכנן, ודאו ששרת הניהול אינו נגיש מהאינטרנט. מערכת שמנהלת תחנות פנימיות אינה אמורה לקבל פניות מבחוץ, ובשרת שכן חשוף זו הפעולה שמורידה את הסיכון הכי מהר.

ושימו לב למועד: התאריך שנקבע לגופים הפדרליים בארצות הברית כבר חלף. ארגון שטרם טיפל בזה נמצא מאחורי לוח זמנים שגורם ביטחון לאומי ראה לנכון לקבוע, וזה מדד סביר גם לארגון ישראלי.