בתוך N-central יש ממשקי API שמיועדים לשימוש פנימי בלבד, ורכיב שתפקידו לחסום מהם גישה מבחוץ. הרשומה קובעת שהרכיב הזה לא חוסם הכול, ושאפשר להגיע דרכו אל אותם ממשקים בלי להזדהות. הציון הוא 6.9 מתוך 10 בשיטת CVSS 4.0, ולא ידוע על ניצול. התיקון נמצא בגרסאות 2026.3 HF3 ו-2026.4.
מה החולשה?
מערכות ניהול גדולות מפרידות בין ממשקים שמיועדים למשתמש שמתחבר מבחוץ ובין ממשקים שהמערכת משתמשת בהם לצרכים שלה עצמה. את ההפרדה אוכף רכיב שיושב לפני הבקשות, עובר על כל אחת מהן ומחליט אם מותר לה להמשיך פנימה. כאן הבדיקה חלקית: בקשה שמנוסחת בצורה שהרכיב לא מזהה עוברת אותו ומגיעה אל הממשק הפנימי כאילו הייתה מורשית מראש.
ברשומה זה מסומן כ-CWE-791, סינון חלקי של תווים מיוחדים. הסימון הזה מצביע על המקום המדויק שבו זה נשבר, וכדאי לשים אליו לב: לא בהיעדר מסנן, אלא ברשימה של מה שהמסנן מנקה. מסנן שמנקה את רוב המקרים ומפספס צורה אחת הוא מסנן שעובד בדיוק עד הרגע שבו מישהו מחפש את הצורה הזאת.
מה שהווקטור אומר על ההיקף מרסן את המספר, ושווה לקרוא אותו לפני שמתרגמים 6.9 לתחושה. אין צורך בהזדהות, אין צורך בהרשאה ואין צורך בפעולה של משתמש, ולכן הגישה עצמה קלה. מנגד, הפגיעה המסומנת היא בסודיות בלבד ובדרגה נמוכה, בלי פגיעה בשלמות הנתונים ובלי פגיעה בזמינות המערכת. כלומר מה שמתועד כאן הוא חשיפה של מידע, לא השתלטות על השרת.
מי מושפע?
מה שהרשומה נותנת הוא מספרי התיקון ולא רשימת גרסאות מושפעות: שדה הגרסאות בה ריק, והתיאור מציין ש-2026.3 HF3 ו-2026.4 הן הגרסאות שבהן החולשה נסגרה. המסקנה המעשית פשוטה: מי שמריץ ענף מוקדם יותר, או את 2026.3 בלי ה-HF3, צריך להתייחס לעצמו כחשוף עד שיבדוק אחרת.
זו לא תוכנה שרצה על מחשב פרטי. מדובר במערכת ניהול שמותקנת בארגון, ולכן הקהל שצריך לעשות כאן משהו הוא מי שמתחזק שרת N-central, לא מי שמחשבו מנוהל דרכו. מי שהשרת שלו נגיש מהאינטרנט נמצא במצב הרגיש יותר, פשוט מפני שהתנאי לניצול הוא היכולת לשלוח אליו בקשה.
האם מנוצלת בפועל?
לא ידוע על ניצול. סוכנות הסייבר האמריקאית CISA מנהלת קטלוג בשם KEV, שאליו נכנסות חולשות שיש עדות לשימוש בהן בפועל, והחולשה הזאת לא נכנסה אליו. העדכון האחרון של הרשומה הוא מ-8 בספטמבר 2026.
מה עושים?
1. בררו באיזה ענף ובאיזה עדכון אתם נמצאים כרגע, כולל אם ה-HF3 הותקן. זו השאלה שקובעת אם יש כאן מה לעשות בכלל.
2. עדכנו ל-2026.3 HF3 אם אתם נשארים בענף 2026.3, או ל-2026.4 אם אתם עוברים לענף הבא. שתי האפשרויות סוגרות את החולשה, וההבדל ביניהן הוא רק באיזה ענף אתם בוחרים להישאר.
3. הפרטים והוראות ההתקנה נמצאים בהערות השחרור של 2026.3 HF3, והתיאור של החולשה מצד היצרן נמצא בהודעת האבטחה שלו.
4. עד שתעדכנו, בדקו מי יכול להגיע אל השרת מהאינטרנט. חולשה שלא דורשת הזדהות מצטמצמת בפועל לפי מספר מי שיכול לשלוח אליה בקשה.