ThreatSonar Anti-Ransomware הוא מוצר הגנה שמותקן בארגון כדי לזהות מתקפות כופר. החולשה הזאת נמצאת בו עצמו: המערכת אינה בודקת כראוי את תוכן הקבצים שמועלים אליה, ומי שמחזיק הרשאות ניהול בפלטפורמה יכול להעלות קובץ זדוני ולהריץ באמצעותו פקודות על השרת. הציון הוא 7.2 מתוך 10.

מה החולשה?

כשמערכת מקבלת קובץ מהמשתמש היא אמורה לבדוק לא רק את השם והסיומת אלא גם את מה שיש בתוכו, ובעיקר לוודא שהקובץ נשאר קובץ ואינו הופך למשהו שהשרת מריץ. לפי הרשומה, כאן האימות הזה לא נעשה כראוי.

התוצאה היא שקובץ שהועלה יכול לשמש להרצת פקודות של מערכת ההפעלה על השרת. הסיווג הוא CWE-434, העלאה של קובץ מסוג מסוכן, והוא מתאר בדיוק את הפער: המערכת מקבלת את הקובץ, ומה שקורה איתו אחר כך כבר אינו בשליטתה.

יש כאן תנאי מקדים שחשוב לא לטשטש. הרשומה אומרת שהתוקף צריך הרשאות מנהל בפלטפורמה, וזו אינה חולשה שאדם מהרחוב מפעיל. הערך שלה לתוקף נמצא בשלב מאוחר יותר בשרשרת: מי שכבר השיג חשבון ניהול, למשל דרך פרטי אימות שדלפו, הופך בעזרתה גישה לממשק לגישה לשרת עצמו. זה המעבר שמעניין תוקף, ובמוצר אבטחה הוא מטריד במיוחד, כי מערכת שנועדה לראות את כל התחנות יושבת עמוק בתוך הרשת.

מי מושפע?

הרשומה מציינת את ThreatSonar Anti-Ransomware בגרסאות שלפני 3.5.0.

TeamT5 היא חברה טאיוואנית, וההתראות על החולשה פורסמו דרך TWCERT, מרכז התיאום הטאיוואני. המוצר אינו שם מוכר בשוק הישראלי, ורוב הקוראים כאן לא ייתקלו בו. אם אתם כן מריצים אותו, למשל בחברה עם פעילות באזור או כחלק ממערך הגנה שנבחר בידי גורם חיצוני, בדיקה של מספר הגרסה היא עניין של דקות ושווה לעשות אותה.

האם מנוצלת בפועל?

כן. ב-17 בפברואר 2026 הכניסה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע שתוקפים מנצלים בשטח, עם מועד תיקון לגופים פדרליים עד 10 במרץ 2026. הרשומה עצמה פורסמה באוגוסט 2024.

הפרט שראוי לתשומת לב הוא שמדובר במוצר אבטחה. כלי הגנה מותקנים בהרשאות גבוהות ורואים הרבה, וזה בדיוק מה שהופך אותם ליעד. חולשה בכלי שנועד לעצור כופר אינה רק אירוניה, היא קיצור דרך.

מה עושים?

עדכנו את ThreatSonar Anti-Ransomware לגרסה 3.5.0 או מאוחרת יותר. ההתראות של TWCERT מקושרות בתיבת המידע הטכני בתחתית העמוד, והן המקור לפרטי העדכון.

מכיוון שהניצול מחייב חשבון ניהול, הצעד השני נוגע לאותם חשבונות. עברו על רשימת המשתמשים בעלי הרשאות ניהול בפלטפורמה, בטלו הרשאות שאיש כבר אינו צריך, והחליפו סיסמאות של חשבונות שלא נגעו בהם מזמן. אם המערכת תומכת באימות דו שלבי לחשבונות ניהול, זה המקום להפעיל אותו.

ולבסוף, בדקו מי בכלל יכול להגיע לממשק הניהול ברשת. ממשק שנגיש רק מרשת הניהול הפנימית מקטין מאוד את הסיכוי שחשבון שנפרץ יתורגם לגישה בפועל.