כל מערכת שמותקנת על שרת מתחילה באשף התקנה, והשלב הזה נהנה ממעמד מיוחד: עוד אין משתמשים, עוד אין סיסמאות, ולכן אין מי שיבדוק את מי שנמצא שם. ההנחה היא שברגע שההתקנה מסתיימת הדלת הזאת נסגרת. ב-Triofox, לפי הרשומה, היא לא נסגרה. הציון 9.1, וב-12 בנובמבר 2025 נכנסה החולשה לקטלוג החולשות המנוצלות של CISA.
מה החולשה?
הסיווג הרשמי הוא בקרת גישה לקויה, וכאן הוא מקבל צורה פשוטה במיוחד. אין באג בזיכרון, אין הזרקה ואין הצפנה שבורה. יש עמודים שהיו אמורים להפסיק להיות נגישים ולא הפסיקו.
למה זה מגיע ל-9.1. משום שעמודי ההתקנה הם בדיוק המקום שבו נקבעים הדברים שאי אפשר לשנות אחר כך בלי הרשאות: מי המנהל, מה הסיסמה שלו, ואיך המערכת מתחברת למה שסביבה. מי שמגיע אליהם במערכת שכבר פועלת אינו מבקש גישה, הוא מגדיר מחדש את התנאים.
הדירוג תואם. גישה מהרשת, מורכבות נמוכה, בלי דרישת הרשאות ובלי פעולה של משתמש, ופגיעה גבוהה בסודיות ובשלמות. הזמינות אינה מסומנת.
לפעמים החולשה אינה במה שהתוכנה עושה אלא במה ששכחה להפסיק לעשות.
מי מושפע?
Triofox בכל גרסה שקדמה ל-16.7.10368.56560.
Triofox היא מערכת שנותנת לעובדים גישה מרחוק לקבצים שיושבים בשרתים של הארגון. כלומר היא מותקנת מלכתחילה כדי להיות נגישה מבחוץ, וזו הנקודה שהופכת את החולשה למעשית ולא תיאורטית: שרת כזה כמעט תמיד פונה לאינטרנט, ולכן גם העמודים שנשארו פתוחים פונים לשם.
בישראל זה מוצר של ארגונים בינוניים ושל ספקי שירותי מחשוב, לא של משתמשים פרטיים. עובד שמשתמש בשיתוף קבצים ארגוני אינו יודע בהכרח איזו מערכת עומדת מאחוריו, וזו שאלה שאפשר להפנות למי שמתחזק אותה.
האם מנוצלת בפועל?
כן. ב-12 בנובמבר 2025 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, שמרכז חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-3 בדצמבר 2025.
הרשומה ב-NVD פורסמה ב-10 בנובמבר 2025, יומיים בלבד לפני הכניסה לקטלוג. הגילוי מתפרסם מצד Mandiant, והדיווח שלה מופיע לצד ניתוח בבלוג של Google Cloud.
מה עושים?
עדכנו ל-16.7.10368.56560 או מאוחר ממנו. היסטוריית הגרסאות של Triofox היא המקום לאמת את הגרסה שרצה אצלכם ואת זו שאליה צריך להגיע.
אם העדכון אינו מיידי, בדקו מי יכול להגיע לעמודי ההגדרה. החולשה אינה דורשת חשבון, ולכן כל הגבלה ברמת הרשת על הנתיבים האלה היא הגנה ממשית עד שהגרסה מותקנת.
ואחרי העדכון, התייחסו להגדרות עצמן כאל משהו שייתכן שנגעו בו. עברו על חשבונות הניהול ועל הסיסמאות שלהם, ועל ההגדרות שמחברות את המערכת אל מקורות הקבצים שהיא מגישה. זו בדיוק הקטגוריה של דברים שעמודי ההתקנה קובעים, ולכן זה מה שצריך לאמת.