Identity Manager הוא המוצר שדרכו ארגון מחליט למי יש גישה לאיזו מערכת. הרשומה מתארת בו חולשה שמאפשרת לתוקף עם גישה רשתית, בלי חשבון ובלי פרטי אימות, להשתלט עליו. הציון 9.8, וב-21 בנובמבר 2025 נכנסה החולשה לקטלוג החולשות המנוצלות של CISA.
מה החולשה?
הרשומה מצביעה על רכיב אחד, REST WebServices. זהו הערוץ שדרכו מערכות אחרות מדברות עם המוצר בלי שאדם יושב מול מסך, ולכן הוא נגיש מהרשת מעצם תפקידו.
הסיווג הרשמי הוא היעדר אימות לפעולה קריטית. כלומר לא מדובר במנגנון הזדהות שאפשר לרמות, אלא בפעולה שאינה שואלת מי הקורא לפני שהיא מבצעת. זה הבדל שמשנה את התמונה, כי אין כאן שלב של ניחוש, אין סיסמה חלשה, ואין מה לחזק.
מה שהופך את זה לחמור במיוחד הוא דווקא תפקידו של המוצר. מערכת לניהול זהויות מחזיקה את המיפוי בין אנשים לבין ההרשאות שלהם בכל שאר המערכות. מי שמשתלט עליה אינו מקבל מערכת אחת, הוא מקבל את היכולת להעניק לעצמו גישה למערכות אחרות, וזה ייראה מבפנים כמו פעולה לגיטימית.
הרשומה מסכמת את הדירוג בעצמה: מרחוק, מורכבות נמוכה, בלי הרשאות ובלי פעולה של משתמש, ושלושת מדדי הנזק גבוהים.
המערכת שמחליטה מי נכנס לאן היא מטרה אחרת ממערכת רגילה.
מי מושפע?
הרשומה נוקבת בשתי גרסאות נתמכות: 12.2.1.4.0 ו-14.1.2.1.0 של Identity Manager, שהוא חלק מ-Oracle Fusion Middleware.
זה מוצר ארגוני במובן המלא. הוא יושב אצל ארגונים גדולים, בנקים, חברות ביטוח וגופים ציבוריים, ולא אצל עסק קטן ובוודאי לא אצל משתמש פרטי. בישראל זה אומר שהשאלה מופנית לצוותי התשתיות ולמנהלי המערכות ולא לקורא הביתי.
והשאלה הראשונה ששווה לשאול היא אם הרכיב הזה נגיש מחוץ לרשת הארגונית. שירותי REST נוטים להישאר פתוחים כי מערכות אחרות צריכות אותם, ולא תמיד נבדק מי עוד יכול להגיע אליהם.
האם מנוצלת בפועל?
כן. ב-21 בנובמבר 2025 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-12 בדצמבר 2025.
הרשומה ב-NVD פורסמה ב-21 באוקטובר 2025, במסגרת עדכון האבטחה הרבעוני של אורקל, וכחודש אחר כך היא כבר בקטלוג. בין המקורות מופיע גם דיווח ב-SANS Internet Storm Center.
מה עושים?
התיקון נמצא בעדכון האבטחה של אורקל מאוקטובר 2025. זה המסמך שמרכז את התיקונים לאותו רבעון, וממנו צריך לקחת את העדכון למוצר ולגרסה שרצים אצלכם.
עדכוני אורקל אינם דבר שמתקינים בין לבין, ולכן אם העדכון מתוכנן ואינו מיידי, הצעד שקונה זמן הוא לחסום את הגישה לשירותי ה-REST של המוצר מחוץ לרשת הארגונית. החולשה דורשת רק גישה רשתית, ולכן זו ההגבלה שמשנה כאן משהו.
ואחרי העדכון, עברו על ההרשאות שהמערכת מנהלת. חולשה שמובילה להשתלטות על מערכת ניהול זהויות משאירה את סימנה לא במערכת עצמה אלא במערכות שהיא מעניקה גישה אליהן: חשבונות שנוספו, הרשאות שהורחבו, וחברויות בקבוצות שאיש לא ביקש.