הרשומה הזאת נכנסת למשפט אחד: לקוח telnet שולח לשרת ערך מסוים, והשרת נותן לו להיכנס בתור root בלי לבקש סיסמה. מדובר בשירות ה-telnet של חבילת GNU Inetutils, בגרסאות עד 2.7 ועד בכלל. הציון הוא 9.8.

מה החולשה?

פרוטוקול telnet נותן ללקוח להעביר לשרת משתנים משלו. אחד מהם נקרא USER, ותפקידו לומר בשם מי מבקשים להיכנס. השרת לוקח את הערך הזה ומעביר אותו הלאה, אל התוכנית שמטפלת בכניסה למערכת.

הבעיה היא מה קורה כשהערך אינו נראה כמו שם. הערך "-f root" פותח במקף, וכך נראית אפשרות בשורת פקודה, לא שם משתמש. כשהוא מועבר הלאה כמו שהוא, מי שקורא אותו בצד השני מפרסר אותו כאפשרות ולא כנתון. הרשומה אומרת לאן זה מוביל: כניסה בתור root, בלי אימות.

לטכניקה הזאת קוראים argument injection, והיא מסומנת ברשומה כ-CWE-88. הרעיון שמאחוריה אינו קשור דווקא ל-telnet. בכל מקום שבו טקסט שמגיע מבחוץ מודבק לתוך שורת פקודה בלי הפרדה ברורה בין מה שהוא נתון לבין מה שהוא הוראה, אותו בלבול אפשרי.

מי מושפע?

הרשומה מציינת את Inetutils מגרסה 1.9.3 ועד 2.7 ועד בכלל, ומציינת במפורש גם את Debian 11.

הרכיב שבו מדובר הוא telnetd, כלומר צד השרת. מכונה שמריצה לקוח telnet בלבד אינה במשחק. מה שמעמיד מכונה בסיכון הוא שירות telnet שרץ עליה ומאזין לרשת.

telnet כבר מזמן אינו הדרך שבה מתחברים לשרתים, אבל הוא ממשיך להתקיים במקומות שבהם אף אחד לא טרח להחליף אותו: מכונות ותיקות, סביבות מעבדה, ציוד שהותקן פעם והמשיך לעבוד. שם בדיוק שווה לבדוק.

האם מנוצלת בפועל?

כן. החולשה צורפה ב-26 בינואר 2026 לקטלוג ה-KEV, קטלוג שמנהלת סוכנות הסייבר האמריקאית CISA ושנכנסות אליו חולשות שיש עליהן עדות לניצול בפועל, ולא רק הערכה שניצול אפשרי. לגופים פדרליים בארצות הברית נקבע מועד תיקון ב-16 בפברואר 2026.

מה עושים?

הבדיקה הראשונה היא אם telnetd בכלל רץ אצלכם. אם התשובה היא לא, וזה המצב ברוב המכונות המודרניות, סיימתם.

אם הוא כן רץ, השאלה הבאה היא אם הוא נחוץ. כיבוי השירות מסיר את החשיפה לגמרי, וזה הצעד החזק מבין השניים, כי הוא לא תלוי בשאלה אם הגעתם לגרסה המתוקנת.

אם הוא כן נחוץ, עדכנו את Inetutils לגרסה שכוללת את התיקון. שני ה-commit-ים שמתקנים את זה נמצאים במאגר של Inetutils, וההודעה ברשימת התפוצה של GNU היא ההכרזה הרשמית. בהפצות כמו Debian העדכון יגיע דרך חבילות ההפצה, לא מקומפילציה ידנית.

ולבסוף, אם telnetd היה חשוף, עברו על יומני הכניסות וחפשו כניסות של root שאתם לא מזהים. זו בדיוק התוצאה שהחולשה הזאת מייצרת.