BeyondTrust פרסמה חולשה במוצר Remote Support שלה ב-15 באוקטובר 2026, ולמחרת היא כבר נכנסה לקטלוג החולשות שתוקפים מנצלים בפועל. הציון הוא 9.3 מתוך 10 בסולם CVSS 4.0, והתוקף אינו צריך שם משתמש, אינו צריך סיסמה ואינו צריך שמישהו בצד השני ילחץ על משהו. כל הגרסאות עד 26.2.3 ועד בכלל נמצאות בטווח.
מה החולשה?
רכיבים פנימיים של המוצר מחליפים ביניהם הודעות, וכל רכיב שמקבל הודעה צריך לבדוק מי שלח אותה לפני שהוא פועל לפיה. הבדיקה הזאת היא מה שנכשל כאן: הרכיבים לא אימתו כראוי את המקור של ההודעות שהגיעו אליהם, כלומר הם קיבלו הוראה וביצעו אותה בלי לוודא שהשולח הוא מי שהוא מתיימר להיות. לסוג הכשל הזה קוראים עקיפת אימות באמצעות התחזות, והסיווג הרשמי שלו כאן הוא CWE-290.
מה שמתאפשר בסוף הוא פעולות על קבצים ב-appliance, כלומר בשרת הייעודי שעליו המוצר מותקן. הרשומה מנסחת את זה בזהירות ואומרת שבתנאים המתאימים תוקף יכול לבצע פעולות כאלה, ואינה מפרטת מעבר לכך.
הדירוג כן מפרט. הסולם מסמן פגיעה גבוהה בשלושת הממדים, סודיות, שלמות וזמינות, ולא רק באחד מהם. כלומר לא מדובר בהצצה למידע אלא גם בשינוי שלו ובפגיעה בתפקוד המערכת. בתוספת לכך שהגישה היא מהרשת ובלי הזדהות, זה מה שמביא את הציון ל-9.3.
מי מושפע?
הרשומה מציינת גבול אחד: Remote Support בגרסה 26.2.3 ובכל מה שלפניה. מי שמריץ גרסה כזאת נמצא בטווח, בלי תנאים נוספים.
Remote Support הוא מוצר ארגוני שמותקן כ-appliance בתוך הרשת, ודרכו צוותי תמיכה מתחברים למחשבים ומטפלים בהם מרחוק. לכן הקהל שנוגע לו בישראל הוא ארגונים בינוניים וגדולים עם מחלקת IT או מוקד תמיכה, וגם חברות שמספקות תמיכה ללקוחות אחרים. לגולש הפרטי בבית אין כאן מה לבדוק.
ושווה לשים לב למה ששרת כזה הוא מעצם תפקידו. מערכת תמיכה מרחוק מחוברת במכוון להרבה מחשבים בארגון ומחזיקה את הגישה אליהם במקום אחד. זאת הסיבה שחולשה בשרת כזה מקבלת תשומת לב אחרת מחולשה באותה חומרה ביישום צדדי.
האם מנוצלת בפועל?
כן. ב-16 באוקטובר 2026 נכנסה החולשה לקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שהוא רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. CISA קבעה לגופים שכפופים לה מועד תיקון ב-19 באוקטובר 2026.
שווה לשים לב ללוח הזמנים. הרשומה פורסמה ב-15 באוקטובר, וההכרה בכך שהחולשה מנוצלת הגיעה למחרת. כשהמרחק בין השניים הוא יום אחד, סביר להניח שהניצול לא התחיל אחרי הפרסום אלא קדם לו.
את הפרטים BeyondTrust מפרסמת בהודעה BT26-05 ולצידה מאמר ידע עם ההנחיות לפי סוג ההתקנה.
מה עושים?
1. בדקו איזו גרסה של Remote Support רצה אצלכם. מספר הגרסה מופיע בממשק הניהול של ה-appliance.
2. אם המספר הוא 26.2.3 או נמוך ממנו, עדכנו לגרסה שאחריה. את מספר גרסת התיקון המדויק ואת סדר הפעולות BeyondTrust מפרטת בהודעה BT26-05 ובמאמר הידע שמצורף אליה, ושם גם ההבדל בין ההתקנות השונות.
3. אל תדחו את זה לחלון התחזוקה הבא. CISA קבעה את 19 באוקטובר 2026 כמועד התיקון, שלושה ימים אחרי הפרסום, ומועד קצר כזה נשמר למקרים שבהם הניצול כבר נראה.
4. ומכיוון שהחולשה נוגעת לפעולות על קבצים בשרת עצמו, עברו גם אחורה ולא רק קדימה. בדקו בלוגים של ה-appliance בקשות מכתובות שאינן מוכרות לכם ושינויים בקבצים שאינכם יכולים לשייך לעבודה שגרתית, בטווח שלפני העדכון.