מודול filestore, שהוא חלק מ-FreePBX Endpoint Manager, מציע כפתור שבודק אם החיבור שהגדרתם עובד. בגרסאות מ-17.0.2.36 ועד 17.0.3, הבדיקה הזאת מעבירה את מה שהוקלד אל שורת הפקודה של המערכת. משתמש שכבר מחובר לממשק הניהול יכול להשתמש בכך כדי לקבל גישה למכונה בהרשאות המשתמש asterisk. הציון 8.6, והחולשה מסומנת כמנוצלת בפועל.
מה החולשה?
הפעולה עצמה סבירה לגמרי: אתם מזינים פרטי חיבור, המערכת מנסה לפתוח מולם התחברות SSH ומחזירה לכם אם הצליחה. כדי לעשות את זה היא מרכיבה שורת פקודה מהערכים שהזנתם. הבעיה מתחילה כשערך שמכיל תו הפרדה של המעטפת נכנס לשורה הזאת כפי שהוא. כל מה שבא אחרי תו ההפרדה מתפרש כפקודה נוספת, והמערכת מריצה אותה. לסוג הבעיה הזה קוראים הזרקת פקודות למערכת ההפעלה.
הרשומה מדייקת איפה זה יושב: בפונקציה check_ssh_connect שנקראת מתוך בדיקת החיבור. זה פירוט לא שגרתי ברשומת NVD, והוא מקל על מי שצריך לוודא מול הקוד.
שני סייגים מכניסים את החולשה לפרופורציה, ושניהם מופיעים בווקטור. הראשון, נדרשות הרשאות גבוהות, כלומר חשבון קיים בממשק הניהול. אין כאן תוקף אנונימי מהאינטרנט. השני, הגישה שמתקבלת היא בהרשאות המשתמש asterisk, החשבון שתחתיו רצה תוכנת הטלפוניה, ולא הרשאות root.
זו עדיין גישה לשורת פקודה על המכונה שמריצה את המרכזייה.
מי מושפע?
הטווח צר ומדויק: מגרסה 17.0.2.36 ועד 17.0.3, לא כולל. גרסה 17.0.3 היא המתקנת.
טווח כזה מחייב בדיקה ולא הערכה. התקנה של FreePBX 17 שלא נגעו בה מאז שהוקמה עשויה להיות בדיוק בתוכו, והמודול מתעדכן בנפרד מהמערכת שסביבו.
הדרישה לחשבון קיים משנה את מי שהשאלה נוגעת לו. במקום שבו לממשק הניהול יש משתמש אחד, המשמעות מצומצמת. במקום שבו יש כמה חשבונות, חלקם של אנשים שכבר אינם שם או של ספק חיצוני שקיבל גישה פעם, זו שאלה אחרת לגמרי.
האם מנוצלת בפועל?
כן. ב-3 בפברואר 2026 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-24 בפברואר 2026. הרשומה ב-NVD פורסמה ב-7 בנובמבר 2025, כשלושה חודשים קודם.
בין המקורות מופיע ניתוח של Fortinet שעוסק ב-web shell, סקריפט קטן שתוקף משאיר על השרת ומשמש לו כממשק פקודות דרך הדפדפן. הפרטים נמצאים שם, לא ברשומה.
מה עושים?
עדכנו את המודול לגרסה 17.0.3. זה עדכון של המודול ולא של המערכת כולה, ולכן הוא אינו בהכרח מגיע יחד עם עדכון כללי. הפרטים נמצאים בהודעת האבטחה של הפרויקט.
עברו על רשימת החשבונות בממשק הניהול. החולשה דורשת משתמש מחובר, ולכן חשבון ישן שנשאר פתוח או פרטי התחברות שהועברו פעם לגורם חיצוני הם בדיוק התנאי שהיא צריכה. מה שאינכם יכולים לשייך לאדם, סגרו.
ואם המערכת הריצה גרסה בטווח, בדקו מה עשה החשבון asterisk. חיבורים יוצאים מהמכונה ותהליכים שרצים תחת החשבון הזה בלי שמישהו יודע להסביר אותם הם הסימן המעשי כאן. הניתוח של Fortinet מפרט מה נראה במקרים שכבר תועדו.