איוונטי תיקנה חולשה ב-Connect Secure שמאפשרת למשתמש מזוהה להעלות קובץ עם תוכן שהוא בוחר אל מקום מוכר על הדיסק של ההתקן. הציון שניתן לה הוא 4.3, נמוך, ובכל זאת היא נרשמה בקטלוג החולשות המנוצלות בפועל. הגרסאות המתקנות הן 25.1.1.3 ו-22.8R2.6.

מה החולשה?

כשתוכנה יוצרת קובץ היא צריכה לתת לו שם. אם השם נגזר ממשהו קבוע, ממונה שעולה בכל פעם או מחותמת זמן, אפשר לחשב אותו מבחוץ. אם הוא נגזר ממקור מקרי אמיתי, אי אפשר. ההבדל נשמע זניח, והוא לפעמים כל ההגנה שיש: קובץ ששמו אינו ידוע הוא קובץ שתוקף אינו יכול לפנות אליו או להחליף אותו.

כאן השמות היו ניתנים לחיזוי. התוצאה שהרשומה מתארת היא שמשתמש מזוהה שפונה מהרשת יכול להעלות קובץ שהתוכן שלו בשליטתו אל מקום ידוע על הדיסק. לסוג הכשל הזה קוראים יצירת שמות ומזהים צפויים, והסיווג שלו הוא CWE-340.

כדאי לקרוא בדיוק מה הרשומה אומרת ומה אינה אומרת. היא אומרת העלאת קובץ למקום ידוע. היא אינה אומרת הרצת קוד, ואינה אומרת קריאה של מידע מההתקן. גם מדידת החומרה מצביעה לאותו כיוון, עם פגיעה בשלמות הנתונים בלבד ובלי פגיעה בסודיות או בזמינות, ועם דרישה לחשבון כדי להתחיל. זה מה שמחזיק את הציון על 4.3.

מי מושפע?

Connect Secure בגרסאות שקודמות ל-25.1.1.3, ובענף 22.8 בגרסאות שקודמות למהדורה R2.6. רשימת הגרסאות שמצורפת לרשומה מונה את מהדורות R2 עד R2.5 של 22.8.

להתקן הזה אין גרסה ביתית. הוא יושב בארגונים ומשמש ככניסה של עובדים לרשת הפנימית מבחוץ, ובישראל מדובר בחברות גדולות ובגופים ציבוריים.

יש כאן תנאי שמצמצם את מי שיכול לנצל, ושווה להסתכל עליו טוב. צריך חשבון. התוקף פונה מהרשת, אבל הוא פונה מזוהה, כלומר מדובר בעובד, בספק, או במי שהשיג פרטי אימות של אחד מהם. בשער גישה ארגוני האפשרות השלישית אינה תרחיש קצה, מפני שפרטי אימות של משתמשים הם בדיוק מה שנגנב בפישינג.

האם מנוצלת בפועל?

כן. ב-30 באוקטובר 2026 נרשמה החולשה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שיש עליהן ראיות לכך שתוקפים משתמשים בהן בשטח. מועד התיקון שנקבע לגופים הפדרליים הוא 13 בנובמבר 2026.

וכאן העיקר של העמוד הזה. חולשה בציון 4.3 שעומדת לבדה אינה מגיעה לקטלוג הזה. העלאת קובץ למקום ידוע, בלי קריאה ובלי הרצה, אינה מטרה בפני עצמה עבור אף תוקף. חולשה כזאת נרשמת כמנוצלת כשהיא חוליה בשרשרת, כלומר כשמשתמשים בה כדי להניח חומר במקום שחולשה אחרת תיגע בו.

הרשומה עצמה אינה מתארת את השרשרת. ההודעה שהיא מפנה אליה היא הודעת אבטחה של איוונטי שכתובתה נושאת מזהה של חולשה אחרת באותו מוצר, וגם זה אומר משהו על איך היצרן מטפל בזה. מי שרוצה את הפירוט של מה שנראה בשטח יחפש אותו שם ובקטלוג, לא ברשומת NVD הזאת.

מה שנגזר מכל זה מעשית הוא פשוט. אל תתעדפו את החולשה הזאת לפי 4.3. תוקף אינו מנצל ציונים.

מה עושים?

עדכנו. הגרסה המתקנת בענף 25.1 היא 25.1.1.3, ובענף 22.8 היא מהדורה R2.6. שני המספרים האלה מופיעים ברשומה עצמה, כך שאין כאן שאלת פרשנות. הודעת האבטחה של איוונטי מחזיקה את ההנחיות המלאות.

כיוון שהניצול דורש חשבון, עברו על מי שיש לו גישה להתקן. הסירו חשבונות של מי שעזב, בטלו חשבונות של ספקים שהעבודה איתם נגמרה, וודאו שאימות דו-שלבי מופעל על מי שנשאר. בחולשה שדורשת חשבון, רשימת החשבונות שלכם היא חלק ממשטח התקיפה.

בדקו את הדיסק של ההתקן. מה שהחולשה משיגה הוא השארת קובץ, ולכן זה גם מה שאפשר לחפש: קבצים שנכתבו בתאריכים שאינם מתיישבים עם עדכון או עם פעולה מתוכננת של הצוות. אם מצאתם משהו כזה, התייחסו להתקן כנגוע ולא רק כפגיע, והחליפו את הסודות שמונחים עליו.