מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.
חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.
תמונה או סרטון שנשלחו דרך קישור iCloud יכלו לנצל באג לוגי במכשירי אפל. אפל מוסרת שהחולשה ייתכן שנוצלה בתקיפה מתוחכמת נגד יחידים, וכך בודקים שאתם מעודכנים.
עותק הזיכרון של שירות TeleMessage הוא כמו קובץ קריסה מלא, ובתוכו נמצאה סיסמה שנשלחה קודם לכן בחיבור HTTP לא מוצפן. החולשה נוצלה במאי 2025.
חולשה במנוע של Microsoft Defender מאפשרת לקוד שכבר רץ על המחשב לפגוע בזמינות ההגנה. הציון שלה נמוך, היא בכל זאת ברשימת המנוצלות, וכך בודקים את הגרסה אצלכם.
חולשה ב-Mitel MiCollab בציון 2.7 מאפשרת למנהל מערכת לקרוא קבצים מהשרת. הציון נמוך, היא בכל זאת ברשימת החולשות המנוצלות של CISA, וזה ההסבר.
הרשומה קובעת שמערכת הארכוב של TeleMessage החזיקה עותקי הודעות בטקסט גלוי, אף שהתיעוד הבטיח הצפנה מהטלפון ועד הארכיון. לא באג בקוד, ובכל זאת נוצלה בשטח.
חולשה בציון המקסימלי ב-ColdFusion של אדובי מאפשרת להעלות לשרת קובץ מסוכן ולהריץ דרכו קוד, בלי הזדהות ובלי שמשתמש יעשה דבר. כך בודקים אם אתם מריצים אותו ומה לעדכן.
חולשה ב-ColdFusion מאפשרת לתוקף בלי חשבון לגרום לשרת לשלוח בקשות בשמו ולהסלים הרשאות. הציון 10 מתוך 10, וההשפעה חורגת מהשרת עצמו. העדכון מופיע בעדכון האבטחה של אדובי.
ביטוי רגולרי שנבנה בכוונה בתוך הגדרות ה-CI של GitLab מאפשר לתוקף בלי חשבון להריץ קוד על השרת. הגרסאות המתקנות הן 19.2.8, 19.3.5 ו-19.4.2.
ב-Dell Container Storage Modules בגרסאות שלפני 1.18.0 יש פעולה קריטית שאינה דורשת אימות כלל, ותוקף מרוחק בלי חשבון יכול להסלים דרכה הרשאות. הציון 10 מתוך 10, והעדכון הוא 1.18.0.
חולשת SSRF בממשק ה-Work Place של SonicWall SMA1000 מאפשרת לתוקף לא מזוהה לגרום למכשיר לשלוח בקשות בשמו ולהגיע לשירותים פנימיים. הציון 10 מתוך 10, ואלה הצעדים עכשיו.
חולשה ב-Dell CSM בגרסאות שלפני 1.18.0 מאפשרת לתוקף לא מזוהה לשלוף מרכיב gRPC את פרטי האימות של מנהל האחסון בכל המערכים הרשומים. הציון 10 מתוך 10, והעדכון הוא 1.18.0.
חולשה בנתבי Linksys מסדרת E מאפשרת לתוקף שאינו מזוהה להריץ פקודות על הנתב דרך פורט 8080. תולעת ניצלה אותה ב-2014, ובפברואר 2025 נצפו שוב סימני ניצול.
ביקורת פנימית של Cisco העלתה ב-Secure Workload חולשות בקרת גישה שקיבלו יחד את הציון המקסימלי. למה ציון 10 אינו אומר שהחולשה מנוצלת, ואיפה נמצאת גרסת התיקון.
ביקורת אבטחה פנימית של Cisco העלתה ב-Crosswork חולשת SQL Injection שקיבלה 10 מתוך 10. מה מרכיב ציון מלא כזה, ואיפה מוצאים את גרסת התיקון.
חולשה באפליקציית UniFi Talk קיבלה את הציון המלא, 10 מתוך 10: מי שיכול לשלוח בקשה אל האפליקציה יכול להריץ פקודות על המכשיר בלי להזדהות. מה הרשומה כן אומרת, ומה עושים בפועל.
קוד לא אמין שרץ בתוך ארגז החול של ספריית vm2 יכול היה לקבל ידית אל סביבת המארח ולהריץ ממנה פקודות מערכת. הציון 10 מתוך 10, והתיקון הוא גרסה 3.12.1.
בגרסה 0.8.0 של argocd-mcp השרת מאזין לכל ממשקי הרשת ומקבל בקשות בלי פרטי אימות, ואז פועל מול Argo CD עם ה-token השמור של המפעיל. כך בודקים אם הוא רץ אצלכם וכך סוגרים אותו.
חולשה באפליקציית UniFi Protect מאפשרת למי שנמצא על אותה רשת להריץ פקודות על המכשיר שמריץ אותה, בלי חשבון. למה הציון הוא 10 ומה אפשר לעשות עד לעדכון.
חולשה בציוד רשת של Ubiquiti שמריץ UniFi OS מאפשרת לתוקף שנמצא באותה רשת להיכנס למכשיר בלי שם משתמש וסיסמה. הציון שלה 10 מתוך 10, וכך מוודאים שהציוד שלכם מעודכן.
חולשה בתוסף GiveWP לוורדפרס מאפשרת לתוקף בלי חשבון להריץ קוד על השרת שמארח את האתר. הציון הוא 10 מתוך 10, והיא נסגרת בעדכון התוסף.
חולשה בציון החומרה המרבי ב-Microsoft Entra ID מאפשרת לתוקף לא מזוהה להריץ קוד דרך הרשת. אין ברשומה גרסה להתקין, וזה מה שכן אפשר לעשות.
חולשה בדירוג המרבי ב-n8n אפשרה לתוקף ללא חשבון לקרוא קבצים מהשרת דרך תהליכי עבודה מבוססי טופס. כך בודקים אם הגרסה שלכם חשופה.
חולשה בציון 10.0 באפליקציית UniFi Connect של יוביקוויטי מאפשרת למי שנמצא ברשת להריץ פקודות על המכשיר. לא ידוע על ניצול, והעדכון זמין.
חישוב שחורג מגבולותיו בעת הכנת תבנית חיפוש בהגדרות ה-CI של GitLab מאפשר למשתמש מזוהה להריץ קוד על השרת. התיקון נמצא בגרסאות 19.2.7, 19.3.3 ו-19.4.1.
ב-Dell Container Storage Modules Operator בגרסאות שלפני 1.18.0, חשבון עם הרשאות מוגבלות באשכול יכול להסלים עד הרשאות root על הצמתים עצמם. הציון 9.9, והעדכון הוא 1.18.0.
חולשה בציון 9.9 ב-GitLab EE אפשרה למשתמש עם גישה ל-Duo Chat לשלוף את הגדרות החיפוש המתקדם של השרת ואת פרטי האימות שבתוכן. אלה גרסאות התיקון ולמה עדכון לבדו אינו סוף הטיפול.
פרטי אימות שנכתבו קבוע בתוך רכיב csm-docs של Dell Container Storage Modules מאפשרים לתוקף מרוחק לגשת למידע בלי להזדהות. הגרסה המתוקנת היא 1.18.0, וכך בודקים מה רץ אצלכם.
חולשה ב-AnyDesk לפני גרסה 5.5.3 בלינוקס וב-FreeBSD אפשרה לתוקף להריץ קוד על המחשב מרחוק ובלי אימות. כך בודקים איזו גרסה מותקנת ומה לעשות עם מכונה שנשכחה.
חולשה בתוסף Bricksforge לוורדפרס, בגרסאות עד 3.1.8.9 ועד בכלל, מאפשרת לתוקף בלי חשבון להעלות קובץ PHP ולהריץ אותו על השרת. כך בודקים את הגרסה ומה לחפש באתר.
ברכיב CSM Authorization של Dell Container Storage Modules בגרסאות שלפני 1.18.0 מוטבעים פרטי אימות קבועים בקוד, ותוקף מרוחק בלי חשבון יכול להסלים דרכם הרשאות. הציון 9.8, והעדכון הוא 1.18.0.
ב-Handlebars בגרסאות 4.0.0 עד 4.7.8, מי שיכול להעביר ל-compile עץ AST מוכן יכול להריץ קוד על השרת. התיקון נמצא בגרסה 4.7.9, ויש גם שני מעקפים זמניים.
חולשה בספריית התבניות Handlebars מאפשרת להריץ קוד JavaScript בתהליך השרת דרך אובייקט מפורסר, והיא עוקפת את הבדיקה שנוספה ב-4.7.9. מי מושפע בפועל ואיך מעדכנים ל-4.7.10.
במודם D1000 של ספק התקשורת Eir, פרוטוקול ניהול שחשוף לאינטרנט מאפשר לשלוף את סיסמת הניהול ולהריץ פקודות על המודם. מה בדיוק קורה שם ומה המקרה הזה אומר על הנתב שקיבלתם מהספק.
בשער הבית החכם HG6543C4 של China Mobile, רכיב שמפעיל telnet מאפשר לתוקף מרוחק להריץ קוד על המכשיר. מה מתועד על החולשה הזאת, מה לא, ומה זה אומר על שער שמסופק על ידי ספק אינטרנט.
במקליטי וידאו של MVPower קיימת כתובת אחת שמריצה פקודות מערכת בהרשאות root לכל מי שפונה אליה מהרשת, בלי להזדהות. כך מזהים את המכשיר ומה עושים איתו.
חולשה בארבעה דגמי נתבים של LB-LINK מאפשרת לתוקף להריץ פקודות על הנתב דרך טופס הגדרות אחד, בלי להזדהות. לפי Akamai היא נוצלה להפצת Mirai. כך בודקים אם הדגם שלכם ברשימה.
חולשת שימוש בזיכרון אחרי שחרורו ב-mod_rewrite של Apache, בציון 9.8, נוגעת לשרתים שמשתמשים בתחביר lookahead. כך בודקים אם ההגדרה הזאת קיימת אצלכם.
חולשה ב-mod_http2 של Apache, בציון 9.8, נובעת משני עיבודים שחולקים אותו חוצץ זיכרון בו זמנית. אלה הגרסאות המושפעות ומה לבדוק בהגדרות.
חולשה ב-mod_ssl של Apache, בציון 9.8, נוגעת לכללי SSLRequire שבודקים קבצים. שרת שמסתמך עליהם כדי להגביל גישה עלול לתת אותה בכל זאת.
שרת ה-FTP שמשולב ברכיב התקשורת Nucleus אינו בודק את אורך שם המשתמש שנשלח אליו, ומי שמנצל את זה יכול להשבית בקרי APOGEE, Desigo ו-TALON TC או להריץ עליהם קוד. אלה גרסאות התיקון לכל סדרה.
חולשה בציון 9.8 ברכיב biz_helper.exe של תוכנת ההקלדה Sogou Input Method מאפשרת לתוקף מרוחק להריץ קוד על המחשב. הגרסה שסוגרת אותה היא 16.3.0.3498, וכך בודקים מה מותקן אצלכם.
חולשה בציון 9.8 שמאפשרת לתוקף להריץ קוד בהרשאות root עוד לפני שהזדהה, דרך תהליך ההתחברות עצמו. כך בודקים מול הודעת התמיכה של Check Point אם הסביבה שלכם ברשימה.
פנייה אנונימית לשרת המדריך של FreeIPA מאפשרת ליצור משתמש Kerberos ולהכניס אותו לקבוצת המנהלים. כך בודקים אם מישהו כבר עשה את זה אצלכם.
חולשה בדירוג 9.8 בפענוח מבנה התעודה בשערי Quantum ובשרתי הניהול של צ'ק פוינט מאפשרת הרצת קוד מהרשת. למה גם שרת הניהול ברשימה, ומה עושים בינתיים.
בנגן ה-HTML5 של Kaltura נמצאה חולשה שמאפשרת לתוקף לא מזוהה לכתוב קבצים על השרת ולהריץ עליו קוד. מי מריץ את הרכיב הזה, ומה אפשר לעשות כבר עכשיו.
חולשה בצירוף של Avada ו-Fusion Builder לוורדפרס מאפשרת לתוקף לא מזוהה לכתוב קובץ PHP על השרת ולהריץ אותו. אילו גרסאות חשופות ומה לבדוק באתר עכשיו.
תוסף SAML Single Sign On של miniOrange לוורדפרס, בגרסאות עד 5.4.4, מפרש שגיאה בבדיקת החתימה כחתימה תקינה ומאפשר כניסה כמנהל בלי סיסמה. כך בודקים איזו גרסה מותקנת ומה עושים.
חולשה בשירות הספריות של VMware vCenter מאפשרת לתוקף עם גישה רשתית להיכנס למערכת בלי להזדהות. זאת החולשה הסמוכה לזו שכבר מנוצלת בשטח.
טופס Forminator פתוח לכל גולש, ובגרסאות עד 1.56.1 אפשר להעלות דרכו קובץ שהשרת יריץ. כך בודקים איזו גרסה מותקנת באתר שלכם ומה לעשות עכשיו.
חולשה קריטית ב-WebSVN בגרסאות שלפני 2.6.1 מאפשרת לתוקף מרוחק להריץ פקודות על השרת דרך תיבת החיפוש. מי מושפע, והאם צריך לעדכן.
כתבות חדשות ישירות לתיבה. בלי ספאם, הסרה בקליק אחד בכל רגע.