Dell RecoverPoint for Virtual Machines היא מערכת שמשכפלת מכונות וירטואליות לצורך התאוששות מאסון. בגרסאות שלפני 6.0.3.1 HF1 מוטמעים בה פרטי אימות קבועים, ומי שמכיר אותם יכול להגיע למערכת ההפעלה שמתחת ולבסס בה אחיזה קבועה בהרשאות root. הציון הוא 10 מתוך 10, הגבוה ביותר האפשרי.

מה החולשה?

פרטי אימות מוטמעים הם שם משתמש וסיסמה שנכתבו לתוך המוצר עצמו, זהים בכל התקנה שלו בעולם, שהלקוח אינו יודע עליהם ואינו יכול לשנות אותם. הם נמצאים שם בדרך כלל לצרכים פנימיים: תחזוקה, תמיכה, או תקשורת בין רכיבים של המוצר.

הבעיה איתם פשוטה ואין לה תיקון חלקי. ברגע שמישהו מגלה מה הם, אצל לקוח אחד או מתוך המוצר עצמו, הוא מחזיק מפתח שעובד אצל כל הלקוחות בבת אחת. אין כאן ניחוש סיסמה, אין צורך בכלי מיוחד, ואין הבדל בין ארגון שהשקיע באבטחה לארגון שלא. הסיווג הוא CWE-798.

לפי Dell, תוקף לא מזוהה ומרוחק שמכיר את פרטי האימות האלה יכול להגיע לגישה בלתי מורשית למערכת ההפעלה שמתחת למוצר ולבסס בה נוכחות קבועה בהרשאות root, כלומר ההרשאות הגבוהות ביותר שיש.

הציון 10 אינו נפוץ, והוא מגיע כאן מהצטברות של תנאים: הכל דרך הרשת, בלי הזדהות, בלי מעורבות של אדם אחר, והתוצאה חוצה את גבולות המוצר אל המערכת שמתחתיו. ובהקשר של מוצר גיבוי והתאוששות, השליטה הזאת נוגעת גם בעותקים שאמורים לשמש רשת ביטחון כשכל השאר נכשל.

מי מושפע?

RecoverPoint for Virtual Machines בגרסאות שלפני 6.0.3.1 HF1.

זהו מוצר של מרכזי נתונים. בישראל הוא נמצא בארגונים שמריצים סביבות וירטואליזציה בהיקף רציני: גופים פיננסיים, תשתיות, ספקי שירותי ענן מקומיים וארגוני אנטרפרייז. משתמש פרטי או עסק קטן לא ייתקל בו לעולם.

ומה שהופך את זה לרלוונטי גם למי שאינו מנהל אותו: מערכת גיבוי והתאוששות מחזיקה עותקים של הכל, וגישה אליה שקולה לגישה למידע שהיא מגבה. במקומות שבהם המוצר הזה מותקן, הוא בדרך כלל מכסה דווקא את המערכות הקריטיות ביותר.

האם מנוצלת בפועל?

כן, ובנסיבות שראוי לפרט. הרשומה פורסמה ב-17 בפברואר 2026, ולמחרת נכנסה החולשה לקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכזת בו חולשות שידוע שתוקפים מנצלים בשטח. המועד שנקבע לגופים הפדרליים היה 21 בפברואר, שלושה ימים אחר כך.

בין המקורות ברשומה מופיע פרסום של Google Cloud שמתאר ניצול של החולשה הזאת כחולשת יום-אפס בידי קבוצה שסומנה UNC6201, כלומר ניצול שהתרחש לפני שהתיקון בכלל היה קיים. זה מסביר את לוח הזמנים הדחוק. כשחולשה מתפרסמת אחרי שכבר השתמשו בה, אין תקופת חסד.

מה עושים?

עדכנו ל-6.0.3.1 HF1 או מאוחר יותר. הודעת האבטחה של Dell, DSA-2026-079, מקושרת בתיבת המידע הטכני בתחתית העמוד, והיא מפרטת את מסלול העדכון וגם דרכי מיתון חלופיות למי שאינו יכול לשדרג מיד. Dell ממליצה במפורש לשדרג או להחיל אחת מהן בהקדם האפשרי.

מכיוון שהחולשה נוצלה כיום-אפס, אל תסתפקו בעדכון. הניחו שהמערכת עשויה הייתה להיות מטרה ובדקו בהתאם: עברו על יומני הגישה של המערכת ושל מערכת ההפעלה שמתחתיה, חפשו התחברויות שלא אתם ביצעתם וחשבונות או מפתחות שנוספו, ותנו תשומת לב מיוחדת לסימנים לנוכחות שנשארה אחרי ההתחברות הראשונה.

בדקו גם מי יכול להגיע למערכת ברשת. מוצר גיבוי אינו אמור להיות נגיש מהאינטרנט, וגם בתוך הארגון הגישה אליו צריכה להיות מוגבלת לרשת ניהול נפרדת. בחולשה שנשענת על פרטי אימות שאי אפשר לשנות, הגבלת הגישה היא ההגנה היחידה שנותרת עד שהעדכון מותקן.

ואם המערכת מותקנת ומתוחזקת בידי אינטגרטור, פנו אליו עם מספר ההודעה DSA-2026-079 ובקשו אישור על הגרסה שמותקנת בפועל.