בגרסאות AhsayCBS עד 10.3.2 יש חולשה שמאפשרת לתוקף להריץ פקודות מערכת על השרת, מרחוק ובלי שם משתמש וסיסמה. הציון שלה 9.3 מתוך 10, הרשומה מציינת שקוד הניצול כבר פורסם, ומ-14 באוקטובר 2026 היא נמצאת גם ברשימת החולשות המנוצלות בפועל. הנתיב כולו עובר דרך פרמטר אחד ב-API של רכיב הרפליקציה.
מה החולשה?
AhsayCBS הוא צד השרת בפלטפורמת הגיבוי של Ahsay. אחד הרכיבים שלו נקרא Replication Receiver, רכיב שתפקידו, כפי שהשם אומר, לקבל נתונים שמשוכפלים אליו משרת אחר.
לרכיב הזה יש API, והרשומה נוקבת בנתיב המדויק: /rps/api/json/UpdateReceivers.do. אחד הפרמטרים שהנתיב הזה מקבל נקרא random, ומה שנכנס בו הגיע בסופו של דבר עד מערכת ההפעלה.
וזאת כל החולשה. כשתוכנה בונה פקודה למערכת ההפעלה ומשרשרת לתוכה טקסט שהגיע מבחוץ בלי לנקות אותו, מי ששולט בטקסט הזה יכול לסיים את הפקודה המקורית ולהוסיף אחריה פקודה משלו. המערכת מריצה את שתיהן, כי מבחינתה הגיעה אליה שורה אחת לגיטימית. לסוג הבאג הזה קוראים הזרקת פקודות.
הציון 9.3 מגיע מהשילוב של כמה דברים: הניצול אפשרי מרחוק, הוא אינו דורש הזדהות, הוא אינו דורש שמישהו ילחץ על משהו, והוא פוגע בסודיות, בשלמות ובזמינות גם יחד. הדירוג גם מסמן שקוד ניצול פומבי קיים, וזה מרכיב בציון עצמו ולא הערה בשוליים.
מי מושפע?
הרשומה מתייחסת ל-AhsayCBS בכל הגרסאות עד 10.3.2 ועד בכלל, ואומרת שעדכון לגרסה 10.3.4 פותר את הבעיה.
זאת לא תוכנה שמשתמש פרטי מתקין. AhsayCBS יושב אצל מי שמספק גיבוי כשירות או מרכז את הגיבוי של ארגון שלם: ספקי IT מנוהל, חברות אחסון, ומחלקות מערכות מידע שהקימו לעצמן שרת גיבוי מרכזי. מי שמריץ אותו בישראל הוא בעיקר הקהל הזה, ולא משתמשי קצה.
ויש כאן נקודה ששווה לעצור עליה. שרת גיבוי הוא בהגדרה המקום שבו יש עותק של הכול. חולשה שמאפשרת להריץ פקודות על המכונה הזאת לא נוגעת רק בה, אלא בכל מה שמגובה אליה.
האם מנוצלת בפועל?
כן. ב-14 באוקטובר 2026 נוספה החולשה לקטלוג ה-KEV, הרשימה שבה סוכנות הסייבר האמריקאית CISA מתעדת חולשות שידוע שתוקפים משתמשים בהן בשטח. המועד שנקבע שם לגופים הפדרליים בארצות הברית להשלים את התיקון הוא 17 באוקטובר, שלושה ימים אחרי ההוספה.
ומה שקרה כאן הוא בדיוק מה שהרשומה עצמה כבר אמרה. היא ציינה שקוד הניצול פורסם וזמין לשימוש, ובין קוד ניצול פומבי לבין ניצול בשטח מפריד בדרך כלל הזמן שלוקח למישהו להריץ סורק. שרת שחשוף לאינטרנט ולא עודכן לא זקוק לתוקף מתוחכם.
אם השרת שלכם עדיין על 10.3.2 או פחות, ההנחה הנכונה כרגע היא לא שמישהו עשוי לנסות, אלא שמנסים.
מה עושים?
1. בדקו איזו גרסה רצה אצלכם. כל מה שעד 10.3.2 נמצא בטווח שברשומה.
2. עדכנו. הרשומה אומרת שגרסה 10.3.4 פותרת את החולשה הזאת, כלומר זאת גרסת המינימום. בדקו מול היצרן מה הגרסה העדכנית ביום שבו אתם מעדכנים בפועל, ואל תסתמכו רק על המספר שנרשם ברשומה בזמנו.
3. עד שתעדכנו, והעדכון דחוף יותר ממה שהיה כשהדף הזה נכתב, הגבילו מי יכול להגיע ל-API של הרכיב. הניצול מתבצע מרחוק דרך נתיב אחד, ואם הרפליקציה נחוצה מול כמה שרתים ידועים בלבד, אין סיבה שהנתיב הזה יהיה פתוח לכל האינטרנט.
4. אחרי העדכון, התייחסו לשרת כאילו ייתכן שנגעו בו. הזרקת פקודות פירושה שהרצה של קוד זר הייתה אפשרית, ולכן כדאי לעבור על יומני הגישה לאותו נתיב ולחפש בקשות שלא הגיעו מהשרתים שאתם מכירים.