ArrayOS AG היא מערכת ההפעלה של שערי הגישה מרחוק של Array Networks, הקופסאות שדרכן עובדים מתחברים אל רשת הארגון. בגרסאות שקדמו ל-9.4.5.9 אפשר להזריק דרכה פקודות שהמערכת מריצה. הציון הוא 7.2 מתוך 10, אבל המספר הזה מספר רק חצי מהסיפור.

מה החולשה?

במקום להתייחס לקלט שהגיע מהמשתמש כטקסט בלבד, המערכת משלבת אותו בפקודה שהיא מעבירה למערכת ההפעלה. מי שכותב בשדה כזה תווים שמסמנים סוף פקודה ותחילת פקודה חדשה מקבל מהמערכת ריצה של מה שהוא כתב. לזה קוראים הזרקת פקודות.

על שער גישה המשמעות רחבה מהרגיל, כי המכשיר הזה יושב על הגבול: צד אחד שלו פונה לאינטרנט וצד שני נמצא בתוך הרשת הפנימית. מי שמריץ עליו פקודות עומד כבר בפנים.

החצי השני של הסיפור הוא הציון. הוא נמוך יחסית מפני שהניצול דורש הרשאות גבוהות במכשיר, ולא כל תוקף אקראי מגיע אליהן. זה לא מנע את מה שקרה בפועל.

מי מושפע?

ארגונים שמפעילים ArrayOS AG בגרסה שקודמת ל-9.4.5.9. ברשימת הדגמים מופיעים בין השאר AG1000, AG1100, AG1150 ו-AG1200.

זה ציוד ארגוני שאינו נפוץ במיוחד בישראל, ומי שכן מפעיל אותו עושה זאת כדי לתת גישה מרחוק לעובדים. בדיוק בגלל התפקיד הזה, מכשיר כזה מחזיק פרטי התחברות ומסלולים אל לב הרשת, ולכן הוא שווה לתוקף הרבה יותר משרת ממוצע.

האם מנוצלת בפועל?

כן, והרשומה עצמה אומרת את זה בפירוש: החולשה נוצלה בשטח מאוגוסט ועד דצמבר 2025. כלומר התקיפות הקדימו את הפרסום הרשמי בחודשים. CISA הכניסה אותה לקטלוג ה-KEV ב-8 בדצמבר 2025, עם מועד תיקון לגופים פדרליים עד ה-29 בחודש.

בין המקורות ברשומה יש התראה של גוף התגובה הלאומי לאירועי סייבר ביפן ודיווח תקשורתי על שתילת כלי שליטה מרחוק בשערים שנפרצו. הקישורים נמצאים בתיבת המידע הטכני.

מה עושים?

עדכנו את ArrayOS AG לגרסה 9.4.5.9 או חדשה ממנה. זו הגרסה שסוגרת את החולשה.

בגלל חלון הניצול הארוך, אל תניחו שעדכון לבדו מסיים את העניין. אם המכשיר היה חשוף בתקופה הזאת, התייחסו אליו כאל מכשיר שייתכן שכבר נגעו בו: חפשו קבצים שנוספו לשרת הווב שלו, בדקו אם קיימים חשבונות ניהול שאינכם מזהים, ועברו על הגדרות שהשתנו בלי שמישהו אצלכם שינה אותן.

החליפו את פרטי ההתחברות של חשבונות הניהול ואת המפתחות והאישורים שמאוחסנים במכשיר. אם תוקף הגיע להרשאות גבוהות בתקופת הניצול, כל מה שישב שם באותו זמן צריך להיחשב חשוף.

לבסוף, בדקו מי יכול להגיע לממשק הניהול של המכשיר. הוא אמור להיות מוגבל לרשת הפנימית, גם כששער הגישה עצמו פונה החוצה.