הציון כאן הוא 10 מתוך 10, והסיבה אינה באג מתוחכם. לפי הרשומה מדובר בהגדרה שגויה ב-Adobe Experience Manager Forms שמאפשרת לתוקף לעקוף את מנגנוני האבטחה ולהריץ קוד. אין צורך באינטראקציה של משתמש, וה-scope מסומן כמשתנה, כלומר ההשפעה חורגת מהרכיב שבו הכשל נמצא.
מה החולשה?
יש סוג של כשל שאינו שגיאה בקוד אלא מצב שבו הקוד עושה בדיוק את מה שהתבקש, רק שלא היו אמורים לבקש ממנו את זה. מצב פיתוח שנשאר דלוק בסביבת ייצור הוא הדוגמה הקלאסית: הוא נועד לאפשר למפתח לראות ולשנות דברים מהר, ובשרת חי אותן הקלות בדיוק הופכות לדרך פנימה.
הרשומה עצמה מסתפקת בהגדרה הכללית ואומרת שמדובר ב-misconfiguration שתוצאתה הרצת קוד. המחקר של Assetnote שהרשומה מצרפת מייחס אותה למצב הפיתוח של Struts שנותר פעיל, ומתאר אותה כחולשה שאינה דורשת הזדהות מוקדמת.
מה שמביא את הציון למקסימום הוא הצירוף ולא רכיב אחד בו: הרצת קוד, בלי הזדהות, בלי אינטראקציה, ועם השפעה שחורגת מגבולות הרכיב.
מי מושפע?
מדובר ב-Adobe Experience Manager Forms בגרסה 6.5.23.0 ובכל מה שקודם לה. AEM Forms הוא המודול שמפיק ומנהל טפסים דיגיטליים, ומי שמשתמש בו הם בעיקר גופים שמריצים תהליכים מול קהל רחב: בנקים, חברות ביטוח, גופים ציבוריים ורשויות.
מכאן נגזרת נקודה שמחמירה את התמונה. שרתי טפסים נוטים להיות נגישים מבחוץ, כי זה בדיוק תפקידם. טופס שרק עובדי הארגון יכולים למלא הוא המקרה הנדיר, לא הרגיל.
האם מנוצלת בפועל?
כן. הרשומה פורסמה ב-NVD ב-5 באוגוסט 2025, וב-15 באוקטובר 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. המועד שנקבע לגופים הפדרליים האמריקאיים לסיים את התיקון היה 5 בנובמבר 2025.
מה עושים?
עדכנו מעבר לגרסה 6.5.23.0 לפי הודעת האבטחה של אדובי APSB25-82. ההודעה מפרטת אילו חבילות צריך להחיל ובאיזה סדר.
אם העדכון אינו יכול לקרות מיד, בדקו אם מצב הפיתוח פעיל בהתקנה שלכם. סביבת ייצור אינה צריכה אותו, וכיבויו סוגר את המסלול שהמחקר מתאר.
בדקו גם מי יכול להגיע לשרת ה-Forms מהאינטרנט. החולשה אינה דורשת חשבון, ולכן כל מי שמגיע לממשק יכול לנסות.
אחרי העדכון, התייחסו לשרת כאל שרת שייתכן שכבר הריצו עליו קוד. עברו על משתמשים שנוספו, על משימות מתוזמנות ועל קבצים שהשתנו בתקופה שלפני התיקון.