איוונטי תיקנה חולשה בשער הגישה מרחוק Connect Secure שמאפשרת לתוקף להציג את עצמו כמי שהוא אינו, ומשם להריץ פקודות על ההתקן בלי שיידרש ממנו חשבון. הציון הוא 8.6, והחולשה נרשמה בקטלוג החולשות המנוצלות בפועל ב-13 באוקטובר 2026, באותו יום שבו פורסמה הרשומה שלה. הגרסאות המתקנות הן 25.1.1.2 ו-25.1.3.0.

מה החולשה?

כל שער גישה מרחוק עושה בדיקה אחת לפני כל השאר: מי זה בצד השני. הבדיקה הזאת היא כל ההגנה, מפני שאחריה ההתקן מתייחס לפונה כאל גורם מורשה ומעביר אותו הלאה אל הרשת הפנימית.

בחולשה הזאת הבדיקה ניתנת לזיוף. התוקף מציג זהות שאינה שלו, ההתקן מקבל את ההצגה הזאת כנכונה, ומאותו רגע הוא מתנהג כאילו מדובר במי שעבר אימות. לסוג הכשל הזה קוראים עקיפת אימות בהתחזות, והסיווג שניתן לו הוא CWE-290. רשומת NVD אינה מפרטת איך נראית הפנייה המזויפת עצמה, ואת זה צריך לקרוא בהודעת האבטחה של היצרן.

מה שהופך את החולשה לחמורה הוא מה שבא אחרי העקיפה. לפי הרשומה, תוקף שאינו מזוהה יכול להריץ פקודות על ההתקן. התקיפה מתבצעת מהרשת, בלי הרשאות מוקדמות ובלי שמישהו בצד השני צריך ללחוץ על משהו. זה שילוב שמתאים לסריקה אוטומטית של טווחי כתובות.

מי מושפע?

Connect Secure בגרסאות שמ-25.1.0.0 ועד 25.1.1.2, בגרסאות שמ-25.1.2.0 ועד 25.1.3.0, וגרסה 22.8 במהדורות R2 עד R2.4. מי שמריץ 22.7R2.14 או גרסה שקודמת לה אינו מושפע, וזאת אמירה מפורשת ברשומה ולא מסקנה שלנו.

מדובר בציוד ארגוני. בישראל הוא יושב בחברות גדולות ובגופים ציבוריים, בעיקר ככניסה של עובדים לרשת מהבית. גולש פרטי אינו מתקין התקן כזה אצלו, אבל אם מקום העבודה שלו עובד דרכו, החולשה נוגעת לרשת שהמחשב שלו מתחבר אליה כל בוקר. מי שיכול לעשות כאן משהו הוא מי שמתחזק את ההתקן.

האם מנוצלת בפועל?

כן. ב-13 באוקטובר 2026 נרשמה החולשה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שיש עליהן ראיות לניצול בשטח. הרישום נעשה באותו יום שבו פורסמה הרשומה ב-NVD, ולא אחריו.

מועד התיקון שהסוכנות קבעה לגופים הפדרליים בארצות הברית הוא 16 באוקטובר 2026. שלושה ימים אחרי הרישום, וזה כל מה שניתן.

הרשומה אינה מצביעה על קבוצת תוקפים ואינה מתארת את הקמפיינים. מה שידוע ממנה הוא שהניצול תועד, ושהוא תועד מיד.

מה עושים?

עדכנו את ההתקן. אם אתם על ענף 25.1.1, הגרסה המתקנת היא 25.1.1.2; אם אתם על 25.1.2 ומעלה, היא 25.1.3.0. ההנחיות המלאות, כולל מה לעשות בגרסה 22.8, נמצאות בהודעת האבטחה של איוונטי.

בדקו את ההתקן גם אחרי שעדכנתם. חולשה שנכנסה לקטלוג ביום פרסומה אומרת שהיה חלון זמן שבו התקיפה עבדה ואף תיקון לא היה זמין. חפשו שינויי תצורה שאף אחד אצלכם לא עשה, חשבונות שנוספו, והתחברויות בשעות שאינן מתאימות לאף עובד.

החליפו את פרטי האימות שמאוחסנים בהתקן או עוברים דרכו: סיסמאות ניהול, מפתחות וסודות בתצורה. התקן שתוקף הגיע אליו מחזיק בדיוק את החומר שמאפשר להיכנס שוב גם אחרי שהחולשה נסגרה.

ואם אתם מריצים 22.7R2.14 או גרסה מוקדמת ממנה, ודאו שזה אכן מה שרץ אצלכם בפועל ולא מה שהיה שם לפני העדכון האחרון.