CentreStack ו-Triofox של Gladinet הן מערכות שמאפשרות לארגון לשתף קבצים ולגשת אליהם מרחוק. בגרסאות שקדמו ל-16.12.10420.56791 ההצפנה שלהן נשענה על ערכים קבועים שזהים בכל התקנה, ומי שמכיר אותם יכול לבקש קבצים מהשרת בלי להזדהות. הציון הוא 7.1 מתוך 10, והחולשה מנוצלת בפועל.
מה החולשה?
הצפנה מסוג AES, שבה המוצרים האלה משתמשים, מבוססת על מפתח סודי. כל ההגנה שלה נשענת על כך שהמפתח ידוע רק לצדדים הנכונים. אם כל התקנה בעולם מקבלת מפתח משלה, מי שפורץ להתקנה אחת לא מתקרב לאחרות.
כאן זה עבד הפוך. המוצרים הגיעו עם ערכים קבועים שמוטמעים בתוכנה עצמה, כך שהם זהים אצל כל הלקוחות. מי שהוציא אותם מהתוכנה, למשל בניתוח שלה, מחזיק בפועל את המפתח של כולם.
ומה עושים עם מפתח כזה. אפשר לבנות בקשה חתומה כהלכה שהשרת מקבל כאילו הגיעה ממקור מורשה, ולבקש בה קובץ מתוך השרת. לפי הרשומה, ההשפעה הישירה היא חשיפת קבצים, אבל ההערכה שמופיעה בה היא שהחולשה משמשת כחוליה: מחברים אותה לחולשות קודמות במוצר ומגיעים לשליטה מלאה על המערכת.
מי מושפע?
ארגונים שמפעילים CentreStack או Triofox בגרסה שקודמת ל-16.12.10420.56791. שני המוצרים חשופים באותה מידה.
אלה מוצרים שמותקנים בעיקר אצל ספקי שירותי מחשוב ואצל ארגונים בינוניים שרוצים שיתוף קבצים משלהם במקום שירות ענן מסחרי. בישראל הם אינם מהנפוצים, אבל מי שכן מפעיל אותם עושה זאת בדרך כלל דווקא בשביל הקבצים הרגישים, וזה מה שהופך את החולשה למשמעותית אצלו.
האם מנוצלת בפועל?
כן. ב-15 בדצמבר 2025 נוספה החולשה לקטלוג ה-KEV, הרשימה שבה CISA מתעדת חולשות שתוקפים כבר משתמשים בהן. חברת המחקר Huntress פרסמה דיווח על ניצול פעיל שלה, והקישור אליו מופיע בתיבת המידע הטכני. המועד שנקבע לגופים פדרליים לתקן היה ה-5 בינואר 2026.
מה עושים?
עדכנו לגרסה 16.12.10420.56791 או חדשה ממנה. זו הגרסה שבה הערכים הקבועים הוחלפו, וכל גרסה שקודמת לה חשופה בלי תלות בהגדרות שלכם.
עדכון לבדו אינו מספיק כאן. מכיוון שהמפתחות היו זהים בכל ההתקנות ופורסמו בפועל, הניחו שכל מה שנשען עליהם לפני העדכון כבר אינו סודי. אחרי ההתקנה, החליפו סיסמאות של חשבונות ניהול ובדקו אם נוספו למערכת חשבונות שאינכם מזהים.
עברו על יומני הגישה וחפשו בקשות לקבצים שאינן מתיישבות עם פעילות רגילה של משתמשים, במיוחד כאלה מתקופה שלפני העדכון. אם המערכת חשופה לאינטרנט, שקלו להגביל את הגישה אליה לרשת הארגונית או דרך VPN עד שתסיימו לבדוק.