ב-DELMIA Apriso, מערכת שמנהלת את רצפת הייצור במפעל, התגלתה חולשה שאפשרה לתוקף לגרום למערכת להריץ קוד שהוא כתב. הניצול דורש הרשאות גבוהות ואינו פשוט לביצוע, ולמרות זאת הציון עומד על 8.0 מתוך 10, וב-28 באוקטובר 2025 נכנסה החולשה לקטלוג החולשות המנוצלות בפועל של CISA.

מה החולשה?

יש תוכנות שאינן רק מריצות קוד שנכתב מראש, אלא מרכיבות קוד תוך כדי עבודה מתוך ערכים שהן מקבלות, ואז מריצות את מה שהרכיבו. זה נוח, והוא בטוח רק כל עוד הערכים שנכנסים לתוך ההרכבה מנוטרלים לפני כן.

לפי הרשומה, השליטה על ההרכבה הזאת הייתה לקויה. ערך שמגיע מבחוץ יכול היה להשתלב בקוד שנבנה במקום להישאר נתון שהקוד עובד עליו, והתוצאה היא שקוד של התוקף רץ בתוך המערכת. לסוג הבעיה הזה קוראים הזרקת קוד.

בווקטור יש פרט אחד שראוי לעצור עליו. ההיקף מסומן כמשתנה, כלומר ההשפעה אינה נעצרת ברכיב שבו יושבת החולשה אלא חוצה אותו הלאה. ההשפעה עצמה מסומנת גבוהה בשלושת המדדים: סודיות, שלמות וזמינות. במערכת שמנהלת ייצור, פגיעה בזמינות אינה רק מסך שנתקע.

מי מושפע?

הרשומה מתארת את הטווח ממהדורת Release 2020 ועד Release 2025 של DELMIA Apriso. מהדורה שלא עודכנה בשנים האחרונות נמצאת בתוכו.

להבדיל מחולשות שכל פונה מזדמן יכול לנסות, כאן הווקטור דורש הרשאות גבוהות וגם מורכבות גבוהה. במילים אחרות, מי שמנצל אותה כבר נמצא בפנים עם חשבון חזק, או שהשיג חשבון כזה בדרך אחרת. זה מצמצם את מספר התוקפים האפשריים, והוא אינו מבטל את הסיכון: משתמש פנימי, ספק עם גישה למערכת, או חשבון ניהולי שנגנב, כולם עונים על התנאי.

בישראל המוצר נמצא בתעשייה היצרנית ולא אצל הצרכן הפרטי. מי שצריך לקרוא את זה הוא מי שאחראי על מערכות הייצור במפעל.

האם מנוצלת בפועל?

כן. ב-28 באוקטובר 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים משתמשים בהן בפועל, והמועד שנקבע לגופים הפדרליים האמריקאיים לסגור אותה היה 18 בנובמבר 2025.

את הנתון הזה כדאי להחזיק לצד דרישת ההרשאות שבווקטור. חולשה שמחייבת חשבון חזק ובכל זאת מנוצלת בשטח אומרת שמישהו הגיע לחשבון כזה.

מה עושים?

1. בדקו איזו מהדורה של DELMIA Apriso מותקנת. כל מהדורה מ-Release 2020 ועד Release 2025 נמצאת בטווח שברשומה.
2. התקינו את התיקון לפי הודעת האבטחה של היצרן. הפרטים מתפרסמים שם לפי מהדורה.
3. עד להתקנה, צמצמו את מספר החשבונות בעלי ההרשאות הגבוהות במערכת. הניצול דורש הרשאות כאלה, ולכן כל חשבון מיותר שמבוטל הוא דלת שנסגרת.
4. הפרידו ברמת הרשת בין מערכת הייצור לבין מה שאינו חייב להגיע אליה. ההיקף המשתנה שבווקטור אומר שההשפעה אינה נשארת בהכרח במקום שבו התחילה.
5. עברו על יומני הפעולות של החשבונות הניהוליים. אם אחד מהם ביצע פעולה שבעליו אינו מזהה, זו נקודת ההתחלה לבדיקה.