שער הדואר המאובטח של סיסקו בודק כל קובץ שמצורף למייל נכנס, וזה המקום שבו נמצאה החולשה. תוקף ששולח מייל עם קובץ מצורף שנבנה במיוחד יכול לכתוב קבצים על מערכת ההפעלה של ההתקן ולהריץ עליו פקודות בהרשאות root, בלי שם משתמש ובלי סיסמה. הציון הוא 9.8 מתוך 10, והחולשה נכנסה ב-14 באוקטובר 2026 לרשימת החולשות המנוצלות בפועל.

מה החולשה?

שער הדואר של סיסקו יושב בין האינטרנט לבין תיבות הדואר של הארגון, ואחד מתפקידיו הוא לבדוק קבצים מצורפים לפני שהם ממשיכים לנמען. התכונה שעושה את זה נקראת Advanced Malware Protection, ובתוכה יש שירות שבודק את המוניטין של הקובץ, כלומר האם הוא כבר מוכר כזדוני.

כדי לבדוק קובץ צריך קודם לטפל בו: לקרוא אותו, לשמור אותו לרגע, להתייחס לשם שלו. לפי סיסקו, הטיפול הזה בקבצים מצורפים לא נעשה כראוי, ומי ששולח את המייל יכול להשפיע דרכו על המקום שבו הקובץ ייכתב בפועל. הסיווג הרשמי הוא מעבר נתיב יחסי, ובפשטות: הנתיב שהקובץ מביא איתו נלקח כפי שהוא, כולל תווים שאומרים למערכת לעלות תיקייה אחת למעלה, ולכן הכתיבה נוחתת במקום אחר מזה שהתוכנה התכוונה אליו.

מכאן הדרך קצרה. מי שיכול לכתוב קובץ לכל מקום על המערכת יכול להחליף קובץ שהמערכת עצמה מריצה, וכך להגיע להרצת פקודות. סיסקו מציינת שניצול מוצלח מאפשר הרצת פקודות בהרשאות root, ההרשאה הגבוהה ביותר במערכת.

שווה לעצור על מה שהחולשה הזאת לא דורשת. אין צורך בחשבון על ההתקן, אין צורך שמישהו בארגון יפתח את המייל, ואין צורך להגיע לממשק הניהול. די בכך שהמייל עבר דרך ההתקן. הסריקה עצמה היא הניצול.

מי מושפע?

מדובר בשער הדואר המאובטח של סיסקו, התקן ארגוני שיושב בקצה הרשת. משתמש פרטי אינו מתקין אותו ואינו נוגע בו, ומי שצריך לפעול הוא צוות התקשורת או האבטחה שמתחזק אותו. בישראל ההתקן מופיע אצל ארגונים שמסננים את הדואר שלהם בעצמם ולא דרך שירות ענן, ולכן השאלה מופנית אליהם ולא לקהל הרחב.

יש כאן תנאי אחד שכדאי לבדוק לפני הכול. לפי התיאור, החולשה תלויה בכך ששירות בדיקת המוניטין של קבצים מופעל. בארגון שקנה את ההתקן הזה התכונה הזאת היא בדרך כלל חלק מהסיבה שקנו אותו, ולכן ההנחה הסבירה היא שהיא דלוקה, אבל זאת בדיקה של דקה והיא קובעת עד כמה אתם חשופים כרגע.

הרשומה ב-NVD אינה מפרטת רשימת גרסאות. המקום שבו מופיעים מספרי הגרסאות המתוקנות הוא הודעת האבטחה של סיסקו.

האם מנוצלת בפועל?

כן. ב-14 באוקטובר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שבה נרשמות חולשות שיש עדות לכך שתוקפים משתמשים בהן בשטח.

המועד שנקבע שם לגופים הפדרליים בארצות הברית להשלים את התיקון הוא 17 באוקטובר, שלושה ימים אחרי ההוספה. לוח זמנים כזה הוא האופן שבו CISA מסמנת שהניצול אינו תיאורטי ואינו נדיר.

מה עושים?

1. פתחו את הודעת האבטחה של סיסקו וקחו ממנה את מספר הגרסה המתוקנת לענף שרץ אצלכם. הרשומה ב-NVD לא מפרטת גרסאות, ולכן זה המקור למספר המדויק.

2. בדקו אם שירות בדיקת המוניטין של קבצים בתוך AMP מופעל על ההתקן. זה התנאי שהתיאור מצביע עליו.

3. עדכנו עד 17 באוקטובר 2026. זה אינו תאריך מחייב עבור ארגון בישראל, אבל הוא אומדן סביר לקצב שבו החולשה הזאת נסרקת בשטח.

4. אחרי העדכון, התייחסו להתקן כאל כזה שייתכן שנגעו בו. חולשה שכבר מנוצלת ומאפשרת כתיבת קבצים והרצת פקודות בהרשאות root על המכונה שכל הדואר הנכנס עובר דרכה מצדיקה גם מבט לאחור: קבצים שנוספו או השתנו על המערכת, ותהליכים או משתמשים שהופיעו בה. עדכון חוסם את הכתיבה הבאה. הוא לא מוחק קובץ שנכתב לפניו.