BeyondTrust מוכרת מוצרים שדרכם ארגונים נותנים גישה מרוחקת למחשבים שלהם, לרבות גישה בהרשאות הגבוהות ביותר. חולשה בשניים מהם מאפשרת לתוקף לא מזוהה לשלוח בקשה שגורמת למערכת להריץ פקודות של מערכת ההפעלה. הציון הוא 9.9 מתוך 10, ו-CISA נתנה לגופים הפדרליים שלושה ימים לתקן.
מה החולשה?
התיאור של BeyondTrust ישיר ואינו מנסה לרכך: מדובר בהרצת קוד מרחוק שאינה דורשת הזדהות מוקדמת. בקשה שנבנתה במיוחד גורמת למערכת להריץ פקודות של מערכת ההפעלה בהקשר של משתמש האתר.
הסיווג הוא CWE-78. המצב הזה נוצר כשהשרת מרכיב שורת פקודה ומשלב בתוכה ערך שהגיע מבחוץ, בלי לנטרל תווים שמערכת ההפעלה מפרשת כתחילת פקודה חדשה. במקום שהערך ייקרא כנתון, חלק ממנו נקרא כהוראה.
מה שמעלה את זה לרמה אחרת הוא הצירוף. אין צורך בחשבון, אין צורך בפעולה של אדם אחר, והכל נעשה דרך הרשת. ומעל הכל יש את זהות המוצר: מערכת שכל תפקידה לתת גישה מרחוק למחשבים אחרים, ולעיתים קרובות בהרשאות הגבוהות ביותר בארגון. תוקף שמשתלט עליה אינו צריך לחפש את הדרך פנימה. המוצר הזה הוא הדרך פנימה.
מי מושפע?
Remote Support בגרסאות שלפני 25.3.2, ו-Privileged Remote Access בגרסאות שלפני 25.1. BeyondTrust מציינת שמדובר ב-Remote Support וכן בגרסאות ישנות מסוימות של Privileged Remote Access.
זהו מוצר ארגוני. בישראל הוא נמצא בעיקר בארגונים גדולים, בגופים פיננסיים ובמקומות שבהם ספקים חיצוניים צריכים גישה מבוקרת למערכות. משתמש פרטי אינו נתקל בו. עם זאת, אם אתם עובדים בארגון שנותן לספקים גישה מרחוק, סביר שמוצר מהסוג הזה נמצא שם, וחולשה בו נוגעת לכל מה שהוא מגשר אליו.
ונקודה שראוי להדגיש: המוצר הזה יושב לפי טבעו על הגבול בין הרשת הפנימית לעולם החיצון, ולכן הוא נגיש מבחוץ בכוונה. זה מה שהופך חולשה שאינה דורשת הזדהות למסוכנת כאן הרבה יותר מאשר במערכת פנימית.
האם מנוצלת בפועל?
כן, ובקצב חריג. הרשומה פורסמה ב-6 בפברואר 2026, וב-13 בפברואר החולשה כבר נכנסה לקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכזת בו חולשות שידוע שתוקפים מנצלים בשטח. המועד שנקבע לגופים הפדרליים היה 16 בפברואר, שלושה ימים אחר כך. חלון כזה קצר במיוחד גם בקנה המידה של CISA, והוא נשמר למקרים שנחשבים דחופים באמת.
בין המקורות ברשומה מופיעים גם דיווח של GreyNoise על סריקות שמחפשות את החולשה הזאת, וגם מאגר קוד פומבי ב-GitHub שנושא את שמה. קוד זמין לכל ומערכות שכבר נסרקות הם השילוב שמקצר את המרחק בין פרסום לניצול כמעט לאפס.
מה עושים?
עדכנו מיד. Remote Support צריך להגיע ל-25.3.2 לפחות, ו-Privileged Remote Access ל-25.1 לפחות. הודעת האבטחה הרשמית של BeyondTrust, BT26-02, מקושרת בתיבת המידע הטכני בתחתית העמוד יחד עם מאמר התמיכה שלה, ושם מופיעות הוראות ההתקנה המדויקות.
מכיוון שקוד ניצול פומבי כבר קיים, אל תסתפקו בעדכון. הניחו שהמערכת נסרקה, ולאחר העדכון עברו על יומני הגישה שלה וחפשו בקשות חריגות ופעולות שלא אתם יזמתם, במיוחד בתקופה שמאז 6 בפברואר 2026.
אם אינכם יכולים לעדכן בשעות הקרובות, הגבילו בינתיים מי יכול להגיע לממשק. מערכת גישה מרחוק צריכה להיות זמינה למי שמשתמש בה, אך לא לכל כתובת באינטרנט, והגבלה זמנית לפי מקור הפנייה מצמצמת את החשיפה עד להתקנת התיקון.
ואם המערכת מנוהלת עבורכם בידי ספק, בקשו אישור בכתב עם מספר גרסה. בחולשה עם לוח זמנים כזה, זו אינה בקשה מוגזמת.