אתר אינו זוכר מי אתם מבקשה לבקשה. הוא מנפיק לכם session, מזהה שהדפדפן שולח בכל פנייה, ומאותו רגע המזהה הזה הוא אתם. לפי הרשומה, בגרסאות 6.3.0 עד 6.5.4 של Zammad אפשר להשתלט על session כזה, ומשם להריץ קוד על השרת בהרשאות החשבון שמריץ את התוכנה. הציון הוא 9.4 מתוך 10, והחולשה נוספה לקטלוג החולשות המנוצלות של CISA.

מה החולשה?

ההגנה על session נשענת כולה על כך שהמזהה שלו נשאר סוד בין הדפדפן לשרת. כל דבר שמאפשר לצד שלישי להשיג מזהה כזה, או לקבוע מראש מה הוא יהיה, מבטל את ההגנה בלי לשבור שום הצפנה: התוקף אינו מתחזה למשתמש, מבחינת השרת הוא פשוט המשתמש. הרשומה מסמנת כאן CWE-384, קיבוע session, שהיא הצורה השנייה מהשתיים, זו שבה המזהה נקבע מראש ולא נגנב אחרי שנוצר.

מה שמעלה את זה מדרגה הוא מה שבא אחרי. הרשומה אינה עוצרת בהשתלטות על חשבון אלא ממשיכה להרצת קוד על השרת עצמו, בהרשאות החשבון שמריץ את התוכנה. הדרך עוברת דרך המשתמש ומגיעה למכונה.

הדירוג מסמן שנדרשת פעולה כלשהי מצד המשתמש, וזה מתאים לחולשה מהסוג הזה. מישהו צריך ללחוץ, או לפתוח, או להתחבר, כדי שהמזהה שהתוקף מצפה לו ייכנס לתמונה.

מי מושפע?

כאן הרשומה מפרידה בין שני ענפים, וההפרדה הזאת היא העיקר.

בענף 6 הגרסאות מ-6.3.0 ועד 6.5.4 חשופות, והגרסה שסוגרת היא 6.5.4. בענף 7, מגרסה 7.0.0 ועד 7.1.3, הרשומה אומרת שהחולשה קיימת בקוד אבל אינה נתונה לניצול בגלל תנאי הסביבה.

את המשפט הזה שווה לקרוא בדיוק כפי שנכתב. הוא אינו אומר שענף 7 מתוקן, הוא אומר שבנסיבות הקיימות הניצול אינו עובד. תנאי סביבה הם דבר שנראה אחרת בהתקנה אחת ובשנייה, ולכן זו אינה אותה מידה של ביטחון שגרסה מתוקנת נותנת.

מי שאינו מפעיל שרת Zammad אינו מושפע מכלום. הרשומה מסמנת גם Docker, ולכן התקנה שרצה בתוך container נכללת גם היא.

האם מנוצלת בפועל?

כן. ב-2 באוקטובר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הקטלוג שמרכז חולשות שידוע כי תוקפים מפעילים אותן, והמועד שנקבע לגופים הפדרליים לטיפול היה 5 באוקטובר 2026.

כאן נדרשת הבחנה שהרשומה עצמה מזמינה. הקטלוג מתייחס לחולשה, והרשומה קובעת שבענף 7 היא אינה נתונה לניצול. הניצול שבגינו היא נכנסה לקטלוג נוגע אם כן לענף 6.

הפרטים פורסמו בידי צוות התגובה ההולנדי DIVD, בעמוד שהוא מקדיש לחולשה.

מה עושים?

1. בדקו באיזו גרסה אתם. כל דבר מ-6.3.0 ועד 6.5.4 נמצא בטווח החשוף.
2. בענף 6 עדכנו ל-6.5.4, הגרסה שהרשומה מציינת כסוגרת את החולשה בענף הזה. מי שנמצא בענף 7 אינו נתון לניצול לפי הרשומה, וההמשך שלו הוא לעקוב אחרי הודעות היצרן ולא להישאר באותה גרסה לאורך זמן.
3. אחרי העדכון בטלו את כל ה-session-ים הפתוחים וחייבו התחברות מחדש. העדכון סוגר את הדרך ליצור session בצורה הזאת, והוא אינו מבטל session שנוצר לפניו וכבר נמצא בידי מי שלא צריך אותו.
4. עברו על חשבונות המשתמשים ועל הפעולות שבוצעו בהם בתקופה שלפני העדכון. חולשה שמסתיימת בהרצת קוד בהרשאות התוכנה מצדיקה גם בדיקה של מה שהשתנה בשרת עצמו, ולא רק של מי התחבר אליו.