CentreStack ו-Triofox של חברת Gladinet הן מערכות שמעניקות לארגון גישה לקבצים שלו דרך הדפדפן. בהתקנה כפי שהיא מגיעה מהיצרן התגלתה חולשה שאפשרה לפונה בלי חשבון לקרוא קבצים מהשרת עצמו, והרשומה מציינת שניצול שלה כבר נצפה בשטח. הציון הוא 7.5 מתוך 10.

מה החולשה?

כשמערכת כזאת נדרשת להגיש קובץ, היא מקבלת מהבקשה שם או נתיב ומצרפת אותו לתיקייה שממנה מותר לה לקרוא. שני דברים אמורים לקרות לפני שהקובץ נשלח חזרה: לוודא שמי שביקש רשאי לבקש, ולוודא שמה שביקש אינו מוביל אל מחוץ לתיקייה המיועדת.

בהתקנת ברירת המחדל אף אחד מהשניים לא עצר את הבקשה. התוצאה היא שקבצי מערכת נחשפו לכל מי שהגיע לשרת. לסוג הבעיה הזה קוראים Local File Inclusion: הבקשה גורמת לתוכנה לטעון קובץ מקומי שלא התכוונו להגיש לאיש.

הציון 7.5 משקף דליפת מידע בלבד, בלי שינוי של נתונים ובלי שיבוש של השירות. זה אינו הופך אותו לזניח. קובץ הגדרות של מערכת שיתוף קבצים מכיל לא פעם גם פרטי חיבור למערכות אחרות.

מי מושפע?

הרשומה מציינת את Triofox בכל הגרסאות עד 16.7.10368.56560 כולל, ואת CentreStack בכל גרסה מתחת ל-16.10.10408.56683. שימו לב שמספרי התיקון שונים בין שני המוצרים, כך שלא מספיק לזכור מספר אחד.

מי שמריץ את המערכות האלה הם בדרך כלל ארגונים שרצו גישה נוחה לקבצים מבחוץ בלי להעביר אותם לענן של ספק. בישראל זה אינו מוצר המוני, אבל הוא כן מופיע אצל ספקי שירותי IT שמנהלים תשתית עבור לקוחות. שרת כזה, מעצם תפקידו, פונה לאינטרנט.

האם מנוצלת בפועל?

כן, ובמקרה הזה זה כתוב כבר ברשומה עצמה, שמציינת שניצול נצפה בשטח. ב-4 בנובמבר 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים מנצלים אותן בפועל, והמועד שנקבע לגופים הפדרליים האמריקאיים היה 25 בנובמבר 2025.

הפרטים הטכניים פורסמו בניתוח של Huntress.

מה עושים?

1. בדקו את מספר הגרסה בהתקנה. הוא מופיע בממשק הניהול של המוצר.
2. עדכנו לפי המוצר, כי המספרים אינם זהים: ב-CentreStack לגרסה 16.10.10408.56683 ומעלה, וב-Triofox לגרסה שמעל 16.7.10368.56560. עמוד הגרסאות של CentreStack מרכז את ההורדות.
3. אם מותקנים אצלכם שני המוצרים, טפלו בשניהם. הם חולקים את אותה חולשה ואת אותה התקנת ברירת מחדל.
4. אחרי העדכון התייחסו לשרת שהיה חשוף כאילו קבצים ממנו כבר נקראו. החליפו סיסמאות ומפתחות ששמורים בקובצי ההגדרות, ועברו על יומני הגישה לחיפוש בקשות לקבצים שאינן חלק מהשימוש הרגיל.