מערכת לניהול פניות של מחלקת IT מרכזת כרטיסי תקלה, פרטי משתמשים ומידע על המערכות שבארגון. בגרסאות של SolarWinds Web Help Desk שקדמו ל-2026.1 קיימת חולשה שמאפשרת למי שאינו מזוהה כלל להגיע לפונקציונליות שאמורה להיות סגורה בפניו. הציון 8.1, והחולשה מסומנת כמנוצלת בפועל.

מה החולשה?

לכל מערכת יש שכבה שמחליטה מי רשאי לעשות מה: בדיקת התחברות, בדיקת הרשאות, שער לפני פעולה רגישה. הכשל כאן אינו בפונקציה מסוימת אלא במנגנון שאמור לאכוף את השער. בקשה שהייתה צריכה להיעצר אינה נעצרת, והתוצאה היא גישה לפונקציונליות מוגבלת בלי הזדהות. הסיווג הרשמי הוא כשל במנגנון ההגנה.

כאן צריך לומר משהו במפורש: הרשומה אינה מפרטת איזו פונקציונליות בדיוק נפתחת. היא אומרת שמדובר בפונקציונליות מוגבלת, ולא יותר מזה. מי שצריך את הפירוט ימצא אותו בהודעת האבטחה של היצרן, לא ברשומה.

מה שכן מפורט הוא פרופיל התקיפה. היא מגיעה מרחוק, אינה דורשת הרשאות ואינה דורשת פעולה של משתמש, אבל מורכבות הביצוע מסומנת כגבוהה, כלומר צריך שתנאים מסוימים יתקיימו. שלושת סוגי הנזק מסומנים כגבוהים.

מי מושפע?

Web Help Desk בכל גרסה שקדמה ל-2026.1.

זה אינו מוצר שנמצא בבתים. הוא יושב במחלקות ה-IT של ארגונים בינוניים וגדולים, ובישראל בעיקר בגופים שמנהלים תמיכה פנימית מסודרת. אם אתם משתמשים במערכת כמגישי פניות, ההחלטה אינה בידיכם. היא בידי מי שמתחזק את השרת.

האם מנוצלת בפועל?

כן, וכדאי לשים לב לתאריכים. החולשה נכנסה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA ב-12 בפברואר 2026, והמועד שנקבע לגופים הפדרליים בארצות הברית הוא 15 בפברואר 2026. שלושה ימים.

זה חלון קצר בהרבה מהמקובל, וזו הדרך שבה הקטלוג מסמן דחיפות אמיתית.

נקודה אחת לשם דיוק: בין המקורות ברשומה מופיע ניתוח של חברת Huntress שעוסק בניצול פעיל ב-Web Help Desk, אבל תחת מספר חולשה אחר. כלומר המוצר הזה נמצא תחת תקיפה פעילה ביותר מכיוון אחד, ולא כדאי להתייחס לחולשה הזאת כאל אירוע מבודד.

מה עושים?

עדכנו את Web Help Desk לגרסה 2026.1. הפרטים נמצאים בהודעת האבטחה של SolarWinds, ורשימת השינויים המלאה נמצאת בהערות הגרסה.

בדקו מי בכלל יכול להגיע לממשק. החולשה אינה דורשת הזדהות, ולכן השאלה הראשונה היא אם המערכת נגישה מהאינטרנט. מערכת תמיכה פנימית לא צריכה להיות, והגבלה לרשת הארגונית או ל-VPN מצמצמת את החשיפה עוד לפני העדכון.

אחרי העדכון עברו על יומני הגישה של התקופה שלפניו. מה שמחפשים כאן הוא פניות מוצלחות לפונקציות פנימיות בלי התחברות שקדמה להן.

ואם אתם מריצים מוצרים נוספים של אותו יצרן, זה הרגע לבדוק גם אותם. שרשרת ההתראות סביב המוצר הזה בחודשים האחרונים אינה מסתכמת בחולשה אחת.