Craft CMS היא מערכת לניהול תוכן, כלומר התוכנה שמאחורי אתר שמישהו צריך לעדכן בלי לכתוב קוד. בגרסאות 4 ו-5 שלה נמצאה חולשה שמאפשרת הרצת קוד על השרת, והיא מגיעה עם תנאי מקדים חריג: היא רלוונטית רק לאתרים שמפתח האבטחה שלהם כבר נחשף. הציון הוא 8.0, והחולשה נמצאת בקטלוג החולשות המנוצלות של CISA.

מה החולשה?

כל התקנה של Craft מחזיקה ערך סודי אחד שנקרא מפתח האבטחה. ההודעה של היצרן לא מפרטת מה בדיוק נעשה איתו, והיא כן אומרת בבירור מה קורה כשהוא מגיע לידיים הלא נכונות: אפשר להמשיך ממנו להרצת קוד על השרת שמריץ את האתר.

הרצת קוד היא ההבדל בין תוקף שיכול לקרוא או לשנות משהו באתר ובין תוקף שיכול להגיד לשרת מה לעשות. ברגע שהשרת מתייחס למשהו שהגיע מבחוץ כאל הוראה ולא כאל נתון, הוא מריץ את מה שהתוקף בחר. לקטגוריה הזאת קוראים הזרקת קוד.

מה שהופך את החולשה הזאת למעניינת הוא שהיא לא הדלת הראשונה אלא השנייה. היא לא נותנת לתוקף להיכנס, היא נותנת למי שכבר אסף סוד אחד להפוך אותו לשליטה על השרת. לכן התיקון כאן הוא גם שאלה על ניהול סודות, לא רק על מספר גרסה.

מי מושפע?

לפי הרשומה, מדובר בהתקנות Craft 4 מתחת לגרסה 4.13.8 ובהתקנות Craft 5 מתחת לגרסה 5.5.8. בשתי הגרסאות האלה, 4.13.8 ו-5.5.8, החולשה תוקנה.

בישראל Craft CMS אינה מהמערכות הנפוצות. היא פופולרית בעיקר אצל מי שבונה אתרים מותאמים ופחות אצל מי שרוצה אתר מהיר מהמדף, ולכן הקורא שהעמוד הזה מיועד לו הוא בדרך כלל מי שמתחזק אתר כזה או הסטודיו שבנה אותו ללקוח. אם אתם לא יודעים באיזו מערכת האתר שלכם בנוי, זאת שאלה אחת למי שמתחזק אותו.

האם מנוצלת בפועל?

כן. החולשה נוספה ב-20 בפברואר 2025 לקטלוג ה-KEV של CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד שנקבע לגופים הפדרליים בארצות הברית לתיקון היה 13 במרץ 2025.

שווה לעצור על מה שהצירוף הזה אומר. חולשה שדורשת מפתח אבטחה שדלף הגיעה לקטלוג של ניצול בפועל, ומכאן שבאתרים אמיתיים המפתח הזה אכן היה בידי מי שלא היה צריך להחזיק בו. התנאי המקדים לא הגן על אף אחד.

מה עושים?

עדכנו את Craft לגרסה 4.13.8 אם אתם על Craft 4, או לגרסה 5.5.8 אם אתם על Craft 5. זה התיקון, והוא סוגר את החולשה בלי תלות בשאלה מה קרה למפתח.

אם אתם לא יכולים לעדכן עכשיו, ההקלה שהיצרן מציין היא להחליף את מפתח האבטחה ולוודא שהוא נשמר כסוד. זה מוציא מתוקף אפשרי את הדבר היחיד שהחולשה מצריכה.

גם אחרי העדכון כדאי להחליף את המפתח אם יש סיכוי שהוא נחשף בעבר. חולשה שבנויה כולה סביב מפתח שדלף היא סיבה טובה להניח שהמפתח הזה שווה יותר ממה שחשבתם.

שני המקורות לקרוא הם הודעת האבטחה של Craft ודף ההנחיות של היצרן על שמירת הסודות של ההתקנה. השני הוא זה שימנע את הפעם הבאה.