לפעמים הרשומה הרשמית היא משפט אחד. כאן זה המצב: NVD אומרת שקיימת חולשת הרצת קוד מרחוק ב-HPE OneView, ולא יותר מזה. מה שמסביב למשפט הזה, לעומת זאת, אומר די הרבה. הציון הוא 10.0, המקסימום.

מה החולשה?

על המנגנון עצמו אין ברשומה פירוט, ולא נמלא את החסר בניחושים. מה שכן אפשר לקרוא הוא את הדירוג, והוא מפורט למדי.

הגישה היא מהרשת. לא נדרשות הרשאות, כלומר אין צורך בחשבון. לא נדרשת שום פעולה מצד אדם בצד השני. מורכבות התקיפה מדורגת נמוכה. הפגיעה גבוהה בשלושת המדדים, סודיות, שלמות וזמינות, והיא גם חורגת מעבר לרכיב הפגיע עצמו אל מה שסביבו. צירוף התנאים הזה הוא מה שמייצר ציון 10.0.

סוג הבאג כן מסומן: CWE-94, הזרקת קוד. כלומר קלט שהיה אמור להיות נתון מגיע בסוף למקום שבו הוא מורץ כקוד.

ודבר אחד נוסף מופיע ברשימת ההפניות ושווה לשים לב אליו: קיים מודול ניצול מוכן ל-CVE הזה ב-Metasploit, סביבת הבדיקות הפומבית. הידע איך לנצל את החולשה אינו נדיר ואינו דורש מחקר עצמאי.

מי מושפע?

הרשומה מציינת את HPE OneView בגרסה 10.20.00 ומטה.

OneView הוא הקונסולה שדרכה ארגון מנהל את השרתים הפיזיים שלו, את ההגדרות שלהם ואת התשתית סביבם. זה אינו מוצר שנמצא אצל משתמש פרטי. הוא נמצא בחוות שרתים, אצל ספקי אירוח ואצל ארגונים גדולים שמחזיקים חומרה משלהם.

זה גם מה שקובע את גודל העניין. מי שמגיע לקונסולת הניהול לא הגיע לשרת אחד, הוא הגיע למקום שממנו מנהלים את כולם.

האם מנוצלת בפועל?

כן. ב-7 בינואר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, קטלוג שמיועד לחולשות שיש עדות ברורה לניצול שלהן, ומועד התיקון שנקבע לגופים הפדרליים בארצות הברית היה 28 בינואר 2026.

מה עושים?

לכו לעלון האבטחה של HPE. ופה צריך לומר דבר אחד במפורש: הרשומה מסמנת את 10.20.00 ומטה כחשופות אבל אינה נוקבת בגרסה המתוקנת, והעלון של היצרן הוא המקום שבו המספר הזה מופיע. אל תתקינו לפי ניחוש.

בדקו מי יכול להגיע לממשק של OneView. חולשה שאינה דורשת חשבון ואינה דורשת פעולה של אף אחד נבלמת בעיקר ברשת: קונסולת ניהול חומרה אינה אמורה להיות נגישה מהאינטרנט, ולא פעם היא בכל זאת.

אם היא הייתה נגישה מבחוץ, אל תעצרו בעדכון. עם ציון 10.0, מודול ניצול פומבי וכניסה לקטלוג המנוצלות, ההנחה הסבירה היא שמישהו ניסה. עברו על יומני הגישה, בדקו משתמשים והגדרות שהשתנו, והתייחסו לזה כבדיקה אמיתית ולא כפורמליות.