Power Pages הוא השירות של מיקרוסופט לבניית אתרים שפונים אל הציבור, למשל פורטל לקוחות או טופס מקוון, מעל הנתונים שכבר יושבים אצל הארגון. בחולשה הזאת תוקף מהרשת, בלי שום הזדהות מוקדמת, היה יכול לעקוף את הבקרה שמחליטה מי רשאי להירשם לאתר ולהגיע להרשאות שלא נועדו לו. הציון הוא 8.2, החולשה נמצאת בקטלוג החולשות המנוצלות של CISA, ומיקרוסופט מסרה שהיא כבר תיקנה אותה בשירות עצמו.

מה החולשה?

אתר Power Pages הוא ברובו אתר ציבורי עם דלת אחת פנימה: טופס הרשמה. מי שנרשם מקבל חשבון, והחשבון הזה מקבל קבוצת הרשאות שבעל האתר הגדיר. השלב שמחליט אם ההרשמה בכלל מותרת, ומה מקבל מי שנרשם, הוא מה שעמד כאן לבדיקה.

הבקרה הזאת לא בדקה את מה שהיא הייתה אמורה לבדוק. תוקף שהגיע מהרשת היה יכול לעבור דרכה בצורה שלא תוכננה, ולהגיע למצב שבו יש לו גישה שבעל האתר לא התכוון לתת לאף אחד מבחוץ. לסוג הבעיה הזה קוראים בקרת גישה לקויה: הקוד שאחראי להגיד לא פשוט לא אמר לא.

יש כאן נקודה שמבדילה את החולשה הזאת מרובן. אין כאן הרצת קוד ואין השתלטות על שרת. יש כאן מישהו שנכנס מהדלת הקדמית וקיבל מחרוזת מפתחות שלא הייתה שלו, ובאתר שמחזיק נתוני לקוחות זה מספיק.

מי מושפע?

Power Pages הוא שירות מנוהל ולא תוכנה שמתקינים, ולכן אין כאן רשימה של גרסאות שצריך לחפש ואין מה להוריד. מיקרוסופט מסרה שהחולשה טופלה בשירות וכי כל הלקוחות שנפגעו קיבלו על כך הודעה. לפי הניסוח שלה, מי שלא קיבל הודעה אינו מושפע.

בישראל זה לא מוצר שגולש פוגש בשם הזה, וגם אם הוא מילא טופס בפורטל שבנוי עליו הוא לא ידע את זה. הקוראים שהחולשה נוגעת להם בפועל הם ארגונים, רשויות וחברות שבנו פורטל ציבורי מעל הסביבה של מיקרוסופט, וזו קטגוריה שקיימת כאן בהחלט.

האם מנוצלת בפועל?

כן. החולשה נוספה ב-21 בפברואר 2025 לקטלוג ה-KEV של CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד שנקבע לגופים הפדרליים בארצות הברית היה 14 במרץ 2025.

מיקרוסופט עצמה אומרת את זה בשפה עקיפה יותר: היא מציינת שהלקוחות שנפגעו קיבלו הנחיות כיצד לבדוק את האתרים שלהם לאיתור ניצול אפשרי וכיצד לנקות אחריו. ארגון לא כותב הנחיות ניקוי לבעיה שנשארה על הנייר.

מה עושים?

אל תחפשו עדכון להתקין, הוא לא קיים. התיקון בוצע בצד של מיקרוסופט בשירות עצמו, וזה כבר מאחורינו.

בדקו אם קיבלתם הודעה ממיקרוסופט על האתר שלכם. מיקרוסופט קושרת בין השניים במפורש: מי שלא קיבל הודעה אינו מושפע, ומי שקיבל הודעה קיבל איתה גם הנחיות בדיקה וניקוי.

אם קיבלתם הודעה, עברו על ההנחיות שנשלחו אליכם ולא על רשימה כללית. מעבר לזה, אופי החולשה מכוון את הבדיקה למקום מסוים: היא עוקפת דווקא את בקרת הרישום, ולכן השאלות הנכונות הן מי נרשם לפורטל, מתי, ואילו הרשאות יש לחשבונות האלה כרגע.

לרשומה עצמה ולכל עדכון עתידי, הודעת האבטחה של מיקרוסופט היא המקור. כדאי לשמור את הקישור אם אתם מי שמנהל את הפורטל, כי זה המקום שבו ינוסח כל שינוי בהמשך.