כשתוכנה צריכה לשמור אובייקט לקובץ או לשלוח אותו ברשת, היא הופכת אותו לרצף בייטים. כשהיא מקבלת רצף כזה בחזרה, היא בונה ממנו אובייקט חי בזיכרון. ב-SolarWinds Web Help Desk בגרסאות שקדמו ל-2026.1, השלב השני מתבצע על נתונים שהגיעו מבחוץ בלי לוודא מה בדיוק נבנה, ומי שמצליח לשלוח את הרצף הנכון מריץ פקודות על השרת. בלי חשבון ובלי הזדהות. הציון 9.8.

מה החולשה?

הבעיה בבנייה מחדש של אובייקט אינה בקריאת הנתונים. היא בכך שהבנייה עצמה מפעילה קוד. אובייקט שנבנה מקבל ערכים, מפעיל פעולות אתחול ולעיתים פותח משאבים, והכול לפי מה שמתאר הרצף שהגיע. מי ששולט ברצף שולט בשרשרת הפעולות הזאת, ובסביבה שיש בה מספיק רכיבים מוכנים אפשר להרכיב ממנה הרצה של פקודות מערכת הפעלה. בסיווג הרשמי זה נקרא דה-סריאליזציה של נתונים שאינם מהימנים.

רוב החולשות מהסוג הזה דורשות שהתוקף יהיה מחובר קודם, ולו כמשתמש הפשוט ביותר. כאן לא. הרשומה אומרת במפורש שאפשר לנצל אותה בלי אימות, וזה ההבדל בין באג שדורש דריסת רגל לבין באג שפתוח לכל מי שמגיע לשרת.

הווקטור: מרחוק, מורכבות נמוכה, בלי הרשאות ובלי מעורבות של משתמש, שלושת מדדי הנזק גבוהים. Scope מסומן כ-Unchanged, כלומר הנזק נשאר בגבולות הרכיב הפגיע, וזה מה שמפריד בין 9.8 לבין ציון מלא.

מי מושפע?

Web Help Desk בכל גרסה שקדמה ל-2026.1. הרשומה אינה מציבה גבול תחתון, ולכן כל התקנה ישנה נמצאת בטווח.

זה אינו מוצר של משתמשי קצה. הוא יושב בצד של מי שמפעיל את מערכת התמיכה, ומי שמגיש דרכה פנייה אינו מי שמחליט על העדכון. אם אתם בצד הזה, השאלה היחידה שכדאי להעביר הלאה היא באיזו גרסה נמצא השרת.

האם מנוצלת בפועל?

כן, והקצב הוא מה שבולט. הרשומה ב-NVD פורסמה ב-28 בינואר 2026. ב-3 בפברואר, שישה ימים אחר כך, כבר צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח. המועד שנקבע לגופים הפדרליים בארצות הברית הוא ה-6 בפברואר.

מה עושים?

עדכנו ל-Web Help Desk 2026.1. הודעת האבטחה של SolarWinds מפרטת את החולשה, והערות הגרסה מפרטות מה עוד נכנס לאותה גרסה.

בדקו באילו הרשאות רץ השירות. הרצת קוד דרך החולשה הזאת מתבצעת בהקשר של החשבון שמריץ את המוצר, ולכן חשבון עם יותר הרשאות ממה שהמוצר באמת צריך מגדיל את הנזק האפשרי בלי שום קשר לחולשה עצמה.

אם השרת היה נגיש מהאינטרנט וגרסתו הייתה ישנה בין סוף ינואר לבין מועד העדכון אצלכם, זה חלון שכדאי לבדוק ולא להניח לגביו. השאלה המעשית היא אילו תהליכים ואילו חיבורים יוצאים נוצרו מהשרת בתקופה הזאת.