Versa Concerto אינו שרת בודד אלא הפלטפורמה שמנהלת רשת SD-WAN שלמה, כלומר את החיבורים בין כל האתרים של ארגון. הרשומה מתארת מצב שבו כתובות ניהול שאמורות להיות פנימיות היו נגישות מבחוץ בלי אימות. הציון הוא 9.2.

מה החולשה?

לפני Concerto יושב Traefik, רכיב שתפקידו לקבל בקשות מבחוץ ולהחליט לאן להעביר כל אחת מהן פנימה. רכיב כזה הוא גם המקום שבו נקבע מה מחייב אימות ומה לא, וההגדרות שלו הן בפועל רשימת הכללים של מי נכנס לאן.

ברשומה כתוב שההגדרות האלה אפשרו להגיע לכתובות ניהוליות בלי לעבור את האימות. בין הכתובות האלה יש אחת בשם Actuator, ממשק ניהול פנימי שיודע למסור מידע על מצב השרת. שניים מהדברים שאפשר לקבל ממנו מצוינים ברשומה במפורש: heap dump, שהוא צילום של הזיכרון של השרת ברגע נתון, ויומני מעקב.

צילום זיכרון אינו קובץ לוג. מה שהיה בזיכרון של השרת באותו רגע נמצא בתוכו, כמו שהוא.

הדירוג ברשומה מסמן בדיוק את זה: פגיעה גבוהה בסודיות, ואילו בשלמות ובזמינות הפגיעה הישירה נמוכה או לא קיימת. זו בעיקר חולשת חשיפה. זה לא הופך אותה לקלה, כי מה שנחשף הוא בדיוק מה שדרוש כדי להמשיך הלאה.

מי מושפע?

הרשומה מונה את Concerto מגרסה 11.4.0 ועד 12.1.2, ומציינת בנפרד גם את 12.1.2 ואת 12.2.0. היא גם אומרת משהו ששווה לקרוא כמו שהוא: ייתכן שגם גרסאות אחרות חשופות. הרשימה הזאת אינה בהכרח סגורה, ומי שמריץ גרסה אחרת לא אמור להסיק מכך שהוא בחוץ.

מספר הארגונים שמריצים Concerto אינו גדול, וזה לא מקטין את העניין. פלטפורמה שמנהלת SD-WAN היא נקודה אחת ששולטת בקישוריות של כל האתרים שמתחתיה, ולכן מי שמגיע אליה מגיע הרבה מעבר לשרת אחד.

האם מנוצלת בפועל?

כן. ב-22 בינואר 2026 נכנסה החולשה ל-KEV, הקטלוג שבו סוכנות הסייבר האמריקאית CISA מרכזת חולשות עם עדות לניצול בשטח, ומועד התיקון שנקבע לגופים הפדרליים בארצות הברית היה 12 בפברואר 2026. תיאור טכני פומבי של החולשה פרסמה ProjectDiscovery.

שימו לב לתאריכים: הרשומה פורסמה ב-NVD כבר במאי 2025, והכניסה לקטלוג המנוצלות הגיעה בינואר 2026.

מה עושים?

העלון של Versa הוא המקום שבו מופיעה הגרסה המתוקנת. הרשומה מסמנת את הגרסאות החשופות אבל אינה נוקבת בגרסת היעד, ולכן העלון של היצרן הוא ההפניה הנכונה כאן, לא ניחוש.

בדקו מאיפה אפשר להגיע לממשק הניהול. חולשה שאינה דורשת חשבון נעצרת כמעט לגמרי כשרק הרשת הפנימית מגיעה אליה, ופלטפורמת ניהול אינה שירות שצריך להיות פתוח לאינטרנט.

והחלק שקל לפספס: אם הממשק היה חשוף, אל תסתפקו בעדכון. חולשה שמוסרת צילום של זיכרון השרת מוסרת גם את מה שהיה בזיכרון באותו רגע, ולכן פרטי אימות ומפתחות ששימשו את המערכת באותה תקופה צריכים להיות מוחלפים. עדכון סוגר את הדרך פנימה, הוא אינו מבטל מידע שכבר יצא החוצה.

עברו על יומני הגישה וחפשו פניות לכתובות הניהול ול-Actuator מכתובות שאינן שלכם.