בגרסאות AhsayCBS עד 10.3.2, הפונקציה שבודקת את סיסמת המערכת לא עושה את העבודה שלה כמו שצריך, ואפשר לעקוף אותה מרחוק. הציון שהחולשה קיבלה הוא 5.5 מתוך 10, נמוך בהרבה מהחולשה האחרת שתוקנה באותה גרסה. הרשומה מציינת שקוד הניצול פומבי, ובאוקטובר 2026 נוספה החולשה לרשימת החולשות שידוע שתוקפים מנצלים בפועל.
מה החולשה?
כשמערכת מקבלת בקשה ל-API היא צריכה להכריע שאלה אחת לפני הכול: האם מי ששלח את הבקשה הוא מי שהוא טוען שהוא. ב-AhsayCBS יש פונקציה שעושה בדיוק את זה, והרשומה נוקבת בשמה ובמקומה: checkSysPwd, בקובץ com/ahsay/obs/api/ApiStructsAction.java של רכיב ה-API.
לפי הרשומה, מניפולציה על פרמטר בשם random מביאה את הפונקציה הזאת לתוצאת אימות שגויה. הרשומה לא מפרטת מעבר לזה איך בדיוק, ואין טעם לנחש. מה שהיא כן אומרת ברור מספיק: הבדיקה שאמורה להבדיל בין מי שיודע את הסיסמה לבין מי שלא יודע אותה, לא מבדילה.
הסיווג הוא אימות לא תקין, וזה שונה משתי האפשרויות שקל לבלבל איתן. זאת לא חולשה שמדלגת על שלב האימות, וזאת לא ניחוש סיסמאות. הבדיקה כאן מתבצעת. היא פשוט מגיעה למסקנה הלא נכונה.
מי מושפע?
לפי הרשומה, כל גרסה של AhsayCBS עד 10.3.2 ועד בכלל, והרכיב הספציפי הוא ה-API.
כמו החולשה האחרת שתוקנה באותה גרסה, גם זאת נוגעת למי שמפעיל את שרת AhsayCBS ולא למי שהמחשב שלו מגובה אליו: ספקי שירותי IT, חברות שמספקות גיבוי כשירות, וארגונים שהקימו שרת גיבוי מרכזי משלהם. למשתמש הקצה אין כאן מה לעשות, והשאלה כולה מופנית למי שמתחזק את השרת.
האם מנוצלת בפועל?
כן. ב-14 באוקטובר 2026 נוספה החולשה לקטלוג ה-KEV שמנהלת CISA, סוכנות הסייבר הפדרלית האמריקאית, שבו נרשמות חולשות שיש עדות לשימוש בהן בידי תוקפים. עד אותו יום לא היה דיווח מאומת על ניצול, וזה מה שהדף הזה אמר. זה השתנה.
המועד שנקבע שם לגופים הפדרליים בארצות הברית להשלים את התיקון הוא 17 באוקטובר, שלושה ימים אחרי ההוספה.
וכאן שווה לחזור לציון. 5.5 הוא ציון שנראה כמו משהו שאפשר לדחות לרבעון הבא, והחולשה הזאת נמצאת בכל זאת ברשימה שנכנסות אליה רק חולשות עם ניצול מוכח. חולשת אימות היא בדיוק סוג הדבר שתוקפים משרשרים: היא לא זאת שעושה את הנזק, היא זאת שפותחת את הדלת למשהו אחר שכן עושה אותו. באותה גרסה, 10.3.4, תוקנה גם חולשה שמאפשרת להריץ פקודות מערכת על השרת.
מה עושים?
1. בדקו את הגרסה. הטווח שברשומה הוא כל מה שעד 10.3.2.
2. עדכנו ל-10.3.4 לפחות, הגרסה שהרשומה מציינת כפתרון לשתי החולשות גם יחד. ודאו מול היצרן מה הגרסה העדכנית ביום העדכון עצמו. התאריך שאפשר למדוד מולו הוא 17 באוקטובר 2026, המועד שבו CISA מחייבת את הגופים הפדרליים לסיים.
3. אחרי שעדכנתם, אפסו את סיסמת המערכת. חולשה שמאפשרת לעקוף את בדיקת הסיסמה אינה חושפת את הסיסמה עצמה, אבל אם מישהו כבר השתמש בה אצלכם, העדכון לבדו לא מוציא אותו מהמערכת. איפוס כן.
4. עברו על יומני הגישה ל-API וחפשו פניות לפונקציות ניהול שלא מגיעות מהכתובות שאתם מכירים. עקיפת אימות נראית ביומן כמו גישה מוצלחת, ולכן מה שמסגיר אותה הוא מי ניגש ומאיפה, לא קוד שגיאה.