מיקרוסופט תיקנה חולשה במעטפת ווינדוס, השכבה שמציגה את שולחן העבודה ואת חלונות הקבצים ומטפלת בפתיחה של מה שלוחצים עליו. לפי רשומת NVD החולשה מאפשרת לתוקף מרחוק לעקוף מנגנון הגנה, והיא נרשמה בקטלוג החולשות המנוצלות בפועל ב-13 באוקטובר 2026. הציון שלה הוא 8.8.

מה החולשה?

תוכנה שמרכיבה פקודה להרצה מתוך טקסט שהגיע מבחוץ צריכה לנקות את הטקסט מתווים שיש להם משמעות מיוחדת בשורת הפקודה. תו כזה יכול לסיים את הפקודה המקורית ולהתחיל אחת חדשה, וכל מה שבא אחריו ירוץ בנפרד ובהרשאות של התוכנה המקורית.

כשהניקוי הזה חסר או חלקי, מי ששולט בטקסט שולט למעשה בפקודה. לכשל הזה קוראים הזרקת פקודות, והסיווג שניתן לחולשה הוא CWE-77.

הרשומה מתארת את התוצאה כעקיפה של מנגנון הגנה, ואינה אומרת איזה מנגנון. את הפרט הזה צריך לקרוא בהודעת האבטחה של מיקרוסופט. מה שהיא כן אומרת הוא שהתקיפה מגיעה מהרשת, ושהיא דורשת פעולה מצד המשתמש: התוקף צריך שמישהו בצד השני יפתח או ילחץ על משהו.

בלי אותה פעולה החולשה אינה עובדת.

מה שכן גבוה כאן הוא מה שקורה אחריה. לפי הרשומה ההשפעה חמורה בשלושת המדדים, על סודיות המידע, על שלמותו ועל זמינות המערכת, וזה מה שמעלה את הציון ל-8.8 למרות התלות בפעולה של המשתמש.

מי מושפע?

רשומת NVD של החולשה הזאת אינה כוללת רשימת גרסאות או בניות מושפעות, ואינה מפרטת מוצר מעבר לשם הרכיב, Windows Shell. כלומר אי אפשר לקבוע מכאן אם המערכת שאצלכם נמצאת ברשימה, ואת ההשוואה הזאת צריך לעשות מול הודעת האבטחה של מיקרוסופט.

מה שאפשר לומר הוא שמעטפת ווינדוס אינה רכיב שמתקינים בנפרד, היא חלק מכל התקנה של המערכת. ווינדוס היא מערכת ההפעלה הנפוצה ביותר על מחשבים אישיים בישראל, ולכן ההנחה הסבירה היא שהחולשה נוגעת לרוב מי שקורא את העמוד הזה. מי שעובד רק על macOS או לינוקס אינו מושפע.

האם מנוצלת בפועל?

כן. ב-13 באוקטובר 2026 נרשמה החולשה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים משתמשים בהן בפועל. מועד התיקון שהסוכנות קבעה לגופים הפדרליים בארצות הברית הוא 16 באוקטובר 2026.

הרשומה אינה מתארת באילו תקיפות נעשה שימוש בחולשה ואינה מצביעה על גורם מסוים. מה שידוע ממנה הוא שהניצול תועד, ושהוא תועד סביב מועד הפרסום.

מה עושים?

התקינו את עדכוני ווינדוס. בהגדרות, תחת Windows Update, בחרו בדיקת עדכונים, התקינו את מה שמוצע והפעילו מחדש כדי שההתקנה תושלם. זה הצעד שסוגר את החולשה; כל השאר כאן הוא מה שעושים עד שהוא מתבצע.

בדקו באיזו גרסה ובאיזו בנייה אתם נמצאים לפני שאתם מניחים שאתם מעודכנים. הקלידו winver בחיפוש של ווינדוס, ואת המספרים שמופיעים בחלון שנפתח השוו לרשימה בהודעת האבטחה של מיקרוסופט.

כיוון שהניצול תלוי בפעולה שלכם, הזהירות מול קבצים וקישורים שהגיעו בהודעה או במייל היא ההגנה שנשארת בינתיים. העצה נשמעת כללית, אבל כאן היא מכוונת בדיוק לשלב היחיד שהתוקף אינו יכול לעשות לבדו.

בארגון, הקדימו את העמדות שבהן משתמשים פותחים קבצים מגורמים חיצוניים כחלק מהעבודה השוטפת, למשל שירות לקוחות, גיוס וספקים. מועד התיקון שקבעה CISA, 16 באוקטובר 2026, הוא מדד סביר לדחיפות גם למי שאינו גוף פדרלי אמריקאי.