ל-Kentico Xperience, מערכת לניהול תוכן שאתרים ארגוניים בנויים עליה, יש שירות שמסנכרן תוכן בין שרת לשרת. בשירות הזה התגלתה חולשה שאפשרה לפונה בלי חשבון להיחשב כמשתמש מורשה ולהגיע לאובייקטים הניהוליים של המערכת. הציון הוא 9.8 מתוך 10, וב-20 באוקטובר 2025 נכנסה החולשה לקטלוג החולשות המנוצלות בפועל של CISA.

מה החולשה?

השירות שמסנכרן תוכן בין שרתים, Staging Sync Server, מזהה את מי שפונה אליו בשיטה שנקראת digest authentication. במקום לשלוח את הסיסמה עצמה, שני הצדדים מחשבים ממנה ומפרטים נוספים ערך גיבוב ומשווים אותו. אם הערכים תואמים, הפונה זוהה.

הבעיה נמצאת במה שקורה כששם המשתמש ריק. לפי הרשומה, הטיפול בסיסמה במצב הזה מייצר ערך SHA1 של שם משתמש ריק, והשוואה כזאת עוברת בהצלחה. תוקף שיודע לבנות את הבקשה בצורה הזאת מזוהה בלי להציג פרטי אימות אמיתיים.

מה שנפתח מעבר לדלת הזאת אינו פינה שולית. הרשומה כותבת שהעוקף מקבל שליטה על האובייקטים הניהוליים, כלומר על ההגדרות שמנהל האתר עובד איתן.

מי מושפע?

החולשה נוגעת לכל גרסאות Kentico Xperience עד 13.0.172 כולל. מדובר במערכת שמותקנת על השרתים של הארגון עצמו ולא בשירות שספק חיצוני מתחזק, כך שהאחריות לעדכן נמצאת אצל מי שמריץ את השרת.

בישראל Kentico אינה מהמערכות הנפוצות לאתרים קטנים, והיא מופיעה בעיקר אצל ארגונים ואתרי תוכן גדולים. אם אינכם יודעים על מה האתר שלכם בנוי, זו שאלה למי שמתחזק אותו, והיא שווה טלפון.

האם מנוצלת בפועל?

כן. ב-20 באוקטובר 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים משתמשים בהן בפועל. המועד שנקבע לגופים הפדרליים האמריקאיים לסגור אותה היה 10 בנובמבר 2025.

הרשומה מפנה למחקר של watchTowr ולקוד שפורסם ב-GitHub. כשקוד הניצול פומבי, אין צורך במחקר כדי לנסות.

מה עושים?

1. בררו איזו גרסה מותקנת. בממשק הניהול של Kentico מספר הגרסה מופיע במסך המידע על המערכת, ומי שמתחזק את השרת יוכל לומר זאת מיד.
2. אם אתם בגרסה 13.0.172 או מתחתיה, התקינו את העדכון מאתר Kentico. העדכונים מפורסמים שם לפי מספר גרסה, כך שצריך לבחור את זה שמתאים להתקנה שלכם.
3. עד שהעדכון מותקן, חסמו גישה חיצונית לשירות הסנכרון. הוא נועד לתקשורת בין השרתים שלכם, ואין סיבה שיהיה פתוח לאינטרנט.
4. אחרי העדכון עברו על חשבונות הניהול ועל השינויים האחרונים בהגדרות. עדכון חוסם כניסה חדשה, הוא אינו מבטל שינוי שכבר בוצע.