מיקרוסופט תיקנה חולשה ברכיב VBS Enclave של ווינדוס, האזור שהמערכת מגנה עליו בעזרת שכבת הווירטואליזציה, שמאפשרת לתוקף שכבר מריץ קוד על המחשב להסלים את ההרשאות שלו. הציון הוא 7.8 מתוך 10, הניצול מקומי בלבד, והטווח כולל את ווינדוס 11 בכל הגרסאות הנתמכות ואת Windows Server 2025.

מה החולשה?

ווינדוס מודרני מחזיק חלק מהדברים הרגישים ביותר במקום שאפילו מערכת ההפעלה עצמה אינה יכולה להציץ לתוכו. הרעיון הוא להשתמש באותה שכבת ווירטואליזציה שמפרידה בין מכונות וירטואליות, אבל הפעם כדי להפריד בין חלקים של אותו מחשב. השם הרשמי של התכונה הוא Virtualization-Based Security, ובתוכה האזור המוגן נקרא enclave.

ההבטחה של המודל הזאת היא שגם תוקף שהשתלט על ווינדוס לא מגיע למה ששמור בפנים. לכן חולשה באזור הזה מעניינת: היא לא פורצת דלת נוספת באותה קומה, היא נוגעת במחיצה שאמורה להפריד בין הקומות.

הבאג עצמו הוא פנייה למצביע שמגיע ממקור לא מהימן. מצביע הוא פשוט כתובת בזיכרון, והקוד שמקבל אותו אמור לבדוק שהכתובת הזאת באמת שייכת לאזור שממנו היא אמורה לבוא. כשהבדיקה חסרה, מי ששולט בערך שנמסר קובע לאן הקוד המוגן ייגש, וקוד שרץ בתוך האזור המוגן נהנה מהרשאות שהקוד שמחוץ לו אינו מקבל.

ומכאן ההסלמה. מיקרוסופט מנסחת את התוצאה כהעלאת הרשאות מקומית, כלומר התוקף אינו מגיע מהרשת ואינו מתחיל מאפס.

שווה לקרוא את ווקטור החומרה בדיוק הזה, כי הוא מספר את כל הסיפור. הניצול מקומי, הוא דורש הרשאות נמוכות שכבר יש לתוקף, והוא אינו דורש שאף אחד ילחץ על משהו. מה שהוא כן נותן מסומן גבוה בשלושת המדדים: סודיות, שלמות וזמינות. במילים אחרות, זאת לא החולשה שמכניסה את התוקף למחשב. זאת החולשה שהופכת דריסת רגל לשליטה.

מי מושפע?

החולשה נוגעת לווינדוס 11 בגרסאות 23H2, 24H2, 25H2 ו-26H1, בבניות שלפני 10.0.22631.7582, 10.0.26100.9445, 10.0.26200.9445 ו-10.0.28000.2954 בהתאמה. בצד השרת מושפע Windows Server 2025 בבניות שלפני 10.0.26100.33438.

ווינדוס 10 אינו מופיע ברשימת הגרסאות המושפעות.

בישראל זה אומר כמעט כל מחשב חדש שנקנה בשנים האחרונות, בבית ובארגון. מה שכן, ובזה החולשה הזאת שונה מחולשות שמנוצלות מהרשת, היא אינה נקודת הכניסה הראשונה. כדי להשתמש בה צריך כבר להריץ קוד על המחשב שלכם, ולכן היא מסוכנת בעיקר כחוליה שנייה בשרשרת.

האם מנוצלת בפועל?

נכון לעדכון האחרון אין דיווח מאומת על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שבה נרשמות חולשות שיש עדות לשימוש בהן בידי תוקפים. זה לא אומר שלא נוצלה, אלא שאין על כך דיווח מאומת, והדף הזה יתעדכן אם המצב ישתנה.

מה עושים?

1. התקינו את עדכוני ווינדוס. בהגדרות, תחת Windows Update, בדקו עדכונים, התקינו, והפעילו מחדש.

2. ודאו שמספר הבנייה אצלכם עבר את המספר שבטווח למעלה. הקלידו winver בשורת החיפוש, והחלון שנפתח מציג את הגרסה ואת מספר הבנייה. זה חשוב כאן במיוחד, כי ההפרש בין בנייה פגועה לבנייה מתוקנת הוא לפעמים מאות בודדות במספר האחרון.

3. בארגון, אל תדרגו את החולשה הזאת לפי העובדה שהיא מקומית בלבד. חולשת הסלמה מקומית היא מה שתוקף מחפש אחרי שהצליח להריץ קוד בהרשאות של משתמש רגיל, ובמחשב של עובד זה קורה דרך קובץ שנפתח. הציון 7.8 לא מתאר את מה שקורה כשהיא משולבת עם משהו אחר.

4. אם אתם מסתמכים על VBS להגנה על פרטי אימות, שווה לבדוק שהתכונה בכלל מופעלת על העמדות שלכם. בכלי מידע המערכת, msinfo32, מופיע מצב ההפעלה של אבטחה מבוססת וירטואליזציה.