החולשה הזאת אינה נותנת לאף אחד להיכנס לשום מקום. היא מאפשרת למי שכבר יש לו הרשאות ניהול על VMware ESX לבצע פעולות מסוימות בלי שהן יירשמו ביומן. הציון שהיא קיבלה הוא 2.7 מתוך 10, נמוך מאוד, ובכל זאת CISA הכניסה אותה ב-28 באוקטובר 2026 לקטלוג החולשות שמנוצלות בפועל. הפער בין שני הדברים האלה הוא כל מה שמעניין כאן.
מה החולשה?
יומן רישום הוא מה שמאפשר לשחזר אחר כך מה קרה. מי התחבר, מה הוא שינה, מתי. בחקירה של פריצה היומן הוא לרוב הדבר היחיד שנשאר, וחולשה שמשאירה פעולות מחוץ אליו אינה מזיקה למערכת אלא לחקירה שתבוא אחריה.
לפי הרשומה, VMware ESX אינו רושם חלק מהפעולות שמנהל מבצע. הסיווג הוא CWE-778, רישום חסר ביומן, והוא מתאר בדיוק את זה: לא באג שמאפשר לעשות משהו חדש, אלא פעולה מותרת שאינה מתועדת.
וזה מסביר גם את הציון. הווקטור שהרשומה נותנת מסמן שהתוקף צריך הרשאות גבוהות מראש, שאין פגיעה בסודיות המידע, שאין פגיעה בזמינות, ושהפגיעה בשלמות המידע נמוכה. כל אחד מהסימונים האלה מוריד את הציון, והתוצאה היא 2.7. הסולם מודד כמה החולשה נותנת לתוקף, והיא כמעט אינה נותנת לו דבר.
אלא שהסולם אינו מודד למה תוקף רוצה אותה. מי שכבר השיג הרשאות ניהול על שרת וירטואליזציה אינו מחפש הרשאות נוספות, הוא מחפש להישאר שם בשקט. חולשה שמשאירה את הפעולות שלו מחוץ ליומן שווה לו בדיוק את מה שהציון אינו מודד.
מי מושפע?
VMware ESX, מנוע הווירטואליזציה שמריץ מכונות וירטואליות על חומרה פיזית. הוא יושב במרכזי נתונים ובחדרי שרתים ולא על מחשבים פרטיים, כך שלגולש הפרטי בישראל אין כאן דבר לעשות. מי שכן צריך להסתכל הם ארגונים, והתפקיד שרלוונטי כאן הוא מי שאחראי על סביבת הווירטואליזציה ועל איסוף היומנים ממנה.
נקודה אחת שחשוב לציין בגלוי: הרשומה אינה מפרטת אילו גרסאות של ESX מושפעות, והשדה הזה ריק בה. לכן את התשובה לשאלה מי מושפע בפועל אפשר לקבל רק מהודעת האבטחה של Broadcom, שאליה הרשומה מפנה.
האם מנוצלת בפועל?
כן. ב-28 באוקטובר 2026 נוספה החולשה לקטלוג ה-KEV, שבו CISA מרכזת חולשות שראתה ניצול שלהן במציאות. לרשימה הזאת לא נכנסות חולשות לפי חומרה אלא לפי עדות, וזה בדיוק למה חולשה בציון 2.7 יכולה להופיע בה לצד חולשות בציון 9 ומעלה.
המועד שנקבע לטיפול בגופים הפדרליים בארצות הברית הוא 11 בנובמבר 2026. הרשומה אינה מספרת מי מנצל את החולשה ובאיזה הקשר, והיא גם אינה אומרת אם הניצול שלה הוא חלק משרשרת ארוכה יותר. כל מה שיש הוא הקביעה שזה קורה.
מה עושים?
אם אינכם מתחזקים סביבת וירטואליזציה, שום דבר. העמוד הזה אינו נוגע למחשב פרטי.
למי שכן: פתחו את הודעת האבטחה של Broadcom ובדקו מולה את הגרסאות והבילדים שאתם מריצים. הרשומה עצמה אינה מפרטת גרסאות, כך שזה המקור היחיד שיש. את התאריך 11 בנובמבר 2026 אפשר לקחת כאמת מידה: הוא אינו מחייב ארגון בישראל, והוא כן המועד שסוכנות שראתה את הניצול קבעה כסביר.
ומכיוון שמדובר בחולשה שפוגעת ביומן, שווה לבדוק בהזדמנות הזאת גם איפה היומנים של סביבת הווירטואליזציה נשמרים. יומן שנשמר רק על המכונה עצמה תלוי כולו במה שהמכונה בחרה לרשום. יומן שנשלח בזמן אמת למערכת איסוף נפרדת משאיר עותק שהפעולות על המכונה אינן משפיעות עליו, וזה שימושי מעבר לחולשה המסוימת הזאת.