מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.
חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.
חולשה בממשק של התקני SonicWall SMA1000 קיבלה את ציון החומרה המקסימלי ומאפשרת לתוקף לא מזוהה לגרום להתקן לפנות ליעדים פנימיים. היא מנוצלת בשטח.
חולשה שקיבלה את ציון החומרה המקסימלי בקולדפיוז'ן של אדובי כבר מנוצלת בשטח, ומאפשרת הרצת קוד על השרת בלי הזדהות. מי צריך לפעול ומה בדיוק לעשות.
חולשה בציון 10.0 ב-Spring Cloud Gateway מאפשרת הרצת קוד מרחוק כשממשק הניהול חשוף. היא מנוצלת מאז 2022 ועדיין מופיעה בתקיפות.
ב-Advantive VeraCore, משתמש מזוהה יכול להעלות דרך upload.aspx קובץ אל תיקייה שנגישה בגלישה רגילה. החולשה מנוצלת בפועל, והגרסה שסוגרת היא 2024.4.2.1.
פרמטר שנשלח לשרת Wazuh פוענח בצורה שאפשרה להריץ קוד Python על השרת. הטווח הוא 4.4.0 עד 4.9.1, והתיקון נמצא בגרסה 4.9.1.
הפעם החולשה ב-ScreenConnect אינה בשרת אלא בתוכנת הלקוח, והיא מאפשרת להעביר קבצים אל המחשב ולהריץ אותם דרך חיבור מרחוק פעיל. הגרסה שסוגרת אותה היא 26.6.5.9742.
חולשה ב-Remote Support ו-Privileged Remote Access של BeyondTrust מאפשרת לתוקף לא מזוהה להריץ פקודות מערכת. הגרסאות המתקנות הן 25.3.2 ו-25.1, וכבר נצפו סריקות.
פרמטר בכתובת שלא נבדק מאפשר לכל בעל חשבון ב-Roundcube להריץ קוד על שרת הדואר. הגרסאות שסוגרות את זה הן 1.5.10 ו-1.6.11, והחולשה כבר מנוצלת בשטח.
טכנאי בעל הרשאות מוגבלות ב-SimpleHelp יכול לייצר מפתח API רחב מדי ובאמצעותו להפוך למנהל השרת. החולשה נסגרה בגרסה 5.5.8 וכבר מנוצלת בשטח.
תוקף בלי שם משתמש הצליח להריץ פקודות על שרת Expedition בהרשאות root ולקרוא משם סיסמאות של חומות אש PAN-OS בטקסט קריא. כך בודקים אם הכלי עדיין רץ אצלכם ומה לעשות איתו.
חולשה ב-n8n אפשרה למשתמש מחובר להריץ קוד על השרת דרך ביטוי בתוך תהליך עבודה. היא כבר נוצלה בפועל, ואלה הגרסאות שסוגרות אותה.
חולשה בשרת ה-VPN של חומות האש Cisco ASA ו-FTD מאפשרת לתוקף מאומת להריץ קוד בהרשאות root ולהשתלט על המכשיר. היא מנוצלת בשטח, וכך מעדכנים.
חולשה בתכונת ה-AMP של שער הדואר של סיסקו מאפשרת לתוקף לכתוב קבצים ולהריץ פקודות בהרשאות root על ההתקן, רק מכך ששלח מייל עם קובץ מצורף. היא מנוצלת בשטח. כך בודקים ומה מעדכנים.
חולשה בשרת המסמכים של ONLYOFFICE מאפשרת לתוקף לא מזוהה לכתוב קובץ לנתיב שהוא בוחר ולהריץ קוד. כך בודקים אם הגרסה שלכם מתוקנת.
חולשה בשרתי Confluence Server ו-Data Center מאפשרת לתוקף להריץ קוד על השרת דרך ביטוי שהשרת מחשב בעצמו. היא נוצלה עוד לפני שיצא תיקון, ואלה גרסאות התיקון.
חולשה בגרסאות Confluence Server ו-Data Center שלפני 8.5.4 מאפשרת לתוקף לא מזוהה להריץ קוד על השרת. בגרסאות החדשות היא נסגרה עוד לפני שהתגלתה.
חולשה שנוגעת לכל גרסאות Confluence Server ו-Data Center מאפשרת לתוקף לא מזוהה לאפס את המערכת וליצור בה חשבון מנהל. הסיכון כאן הוא גם לנתונים עצמם.
חולשה בשרתי Confluence שארגונים מריצים אצלם מאפשרת לתוקף מהאינטרנט לפתוח לעצמו חשבון מנהל ולהיכנס לכל התכנים. אלה גרסאות התיקון ומה לבדוק אחרי העדכון.
בשרת האינטרנט nostromo, בגרסאות עד 1.9.6, בקשת HTTP שנבנתה במיוחד יוצאת מהתיקייה שהשרת אמור להגיש ומגיעה להרצת קוד. החולשה מנוצלת בפועל, והתיקון הוא 1.9.7.
בשרת הגיבוי Veeam Backup & Replication, בגרסאות 12 שלפני 12.2.0.334, מטען שנשלח מהרשת מגיע להרצת קוד בלי הזדהות. החולשה מנוצלת בפועל, וזה מה שמעדכנים.
פנייה שנבנתה במיוחד אל options.php ב-ProjectSend אפשרה לתוקף בלי חשבון לשנות את הגדרות היישום, לפתוח חשבונות ולהעלות webshell. הגרסה שסוגרת את החולשה היא r1720.
תוקף בלי חשבון יכול היה לעבור על מערכת הקבצים של שער ה-SSL VPN של Array Networks דרך מאפיין בכותרת HTTP, ומשם להריץ קוד. הציון 9.8, והרשומה מתעדת תקופה שבה עוד לא היה תיקון.
חולשה בשירות ה-UPnP של נתבי D-Link, שמקורה בחבילת הקוד של Realtek, מאפשרת לתוקף להריץ קוד על הנתב בלי סיסמה. היא מנוצלת בפועל, וכך בודקים אם הדגם שלכם ברשימה.
כלי בדיקה של Realtek שנותר פעיל בקושחה של נתבים ונקודות גישה מאפשר לתוקף להריץ עליהם פקודות בלי להזדהות. החולשה מנוצלת בפועל, וכאן מוסבר מה עושים כשאין רשימת דגמים.
חולשה בציון 9.8 במקלט הווידאו NVRmini של NUUO מאפשרת להריץ פקודות על ההתקן דרך פרמטר בבקשת שדרוג, בלי שם משתמש. הרשומה אינה מציינת גרסה מתקנת, וזו המשמעות.
חולשה במקלט הווידאו NVRmini2 של NUUO בגרסאות עד 3.11 מאפשרת לתוקף לא מזוהה להעלות ארכיון ולהוסיף משתמשים. בשילוב חולשה נוספת מגיעים משם להרצת קוד בהרשאות root.
חולשה בציון 9.8 במוצרי העברת הקבצים של Cleo מאפשרת לתוקף לא מזוהה להריץ פקודות Bash או PowerShell על השרת דרך הגדרות ברירת המחדל של תיקיית Autorun. התיקון הוא 5.8.0.24.
חולשה בציון 9.8 ב-Harmony, ב-VLTrader וב-LexiCom של Cleo מאפשרת להעלות ולהוריד קבצים מהשרת בלי הגבלה, ומשם להגיע להרצת קוד. התיקון נמצא בגרסה 5.8.0.21.
חולשה ב-Oracle WebLogic Server בציון 9.8 מאפשרת לתוקף להשתלט על השרת דרך הפרוטוקולים T3 ו-IIOP, בלי שם משתמש וסיסמה. כך בודקים אם אתם חשופים.
חולשה בציון 9.8 ב-BeyondTrust Privileged Remote Access ו-Remote Support מאפשרת לתוקף בלי חשבון להריץ פקודות על המערכת. CISA נתנה לרשויות שמונה ימים לתקן.
חולשה ב-PRTG Network Monitor שלפני 18.2.40.1683 אפשרה לתוקף לא מזוהה ליצור לעצמו חשבון מנהל. היא מנוצלת בפועל, וכך בודקים אם זה קרה אצלכם.
חולשה ב-FortiMail מאפשרת לתוקף שאינו מזוהה כלל לכתוב קבצים על המערכת, והיא כבר מנוצלת בשטח. אלה טווחי הגרסאות החשופים ומה צריך לבדוק עכשיו.
חולשה מ-2017 בשרת ColdFusion מאפשרת לתוקף להריץ קוד בלי שם משתמש וסיסמה, וב-2025 היא נכנסה לקטלוג החולשות המנוצלות של CISA. אלה הגרסאות הפגיעות ומה לעשות.
חולשה ב-Cisco Catalyst SD-WAN Manager שכבר מנוצלת בשטח מאפשרת לתוקף שלא הזדהה כלל לפנות ל-API בהרשאות של משתמש admin. כך בודקים אם המערכת שלכם חשופה ומה המועד שקבעה CISA.
פונקציה בשירות הייצוא של Progress WhatsUp Gold מאפשרת לתוקף שלא הזדהה להריץ פקודות על שרת הניטור. הגרסה שסוגרת את החולשה היא 2023.1.3, והיא מנוצלת בפועל.
מסלול ההזדהות בסגנון S3 ב-CrushFTP בדק מי המשתמש לפני שדרש סיסמה, ובקשה פגומה מנעה מהשרת לנקות את הסשן. כך משתלטים על crushadmin, וכך סוגרים את זה.
בגרסאות Sitecore מ-7.0 עד 8.2 השדה __CSRFTOKEN קיבל אובייקט .NET ושוחזר בלי בדיקה, מה שאיפשר הרצת קוד בלי הזדהות כלל. כך בודקים אם הגרסה שלכם בטווח.
בקשה שנבנתה במיוחד לשרת Active! mail 6 גולשת מהחוצץ ומריצה קוד. הציון 9.8, החולשה רשומה כמנוצלת בשטח, והגרסה שסוגרת היא 6.60.05008562.
זרם אודיו בתוך קובץ מדיה שנבנה בזדון הצליח להריץ קוד על מכשירי אפל. אפל מציינת דיווח על ניצול בתקיפה מתוחכמת נגד יחידים, ואלה הגרסאות שסוגרות את החולשה.
מנגנון שאמור למנוע מתוקף להפוך באג זיכרון להרצת קוד נעקף במכשירי אפל. אפל הסירה את הקוד הפגיע, ואלה הגרסאות שסוגרות את החולשה.
הרשומה עצמה מציינת שהתקבלו דיווחים על ניצול: דגמי GeoVision שיצאו מתמיכה מריצים פקודות מערכת לכל פונה מהרשת. אלה הדגמים, וזה מה שעושים כשאין קושחה מתקנת.
קלט שלא סונן בדגמי GeoVision ישנים מאפשר לכל פונה מהרשת, בלי הזדהות, להריץ פקודות מערכת על המכשיר. אלה הדגמים שברשומה, ולמה אין כאן עדכון שיתקן.
חולשה בציון 9.8 בשרת MagicINFO 9 של סמסונג מאפשרת לתוקף מהרשת לכתוב קבצים בהרשאות מערכת, והיא כבר מנוצלת בשטח. הגרסה שסוגרת אותה ומה כדאי לבדוק בשרת.
חולשה בציון 9.8 בשרת הניהול של צ'ק פוינט, שכבר מנוצלת בשטח, מאפשרת לתוקף בלי חשבון להעלות קובץ ולגרום לשרת להריץ אותו. מה בדיוק קורה שם ומאיפה מגיע התיקון.
ספריית PHPMailer בגרסאות שלפני 5.2.18 העבירה את כתובת השולח הלאה לפקודת השליחה של המערכת בלי לנקות אותה, ותוקף שתל שם פקודה משלו. גם WordPress עד 4.7 ו-Joomla עד 3.6.5 חשופים.
חולשה ברכיב שמפענח תעבורת TLS בתוך גרעין לינוקס נכנסה לקטלוג החולשות המנוצלות בפועל של CISA וקיבלה ציון 9.8. אלה טווחי הגרסאות שמושפעים, גרסאות התיקון, ומה לבדוק על שרת לינוקס עכשיו.
באג בניהול הזיכרון של Firefox 3.5 ו-3.6 אפשר לדף אינטרנט להריץ קוד על המחשב. הרשומה מתעדת ניצול בשטח באוקטובר 2010 בידי נוזקה בשם Belmoo, והיא נוספה לקטלוג החולשות המנוצלות רק באוקטובר 2025.
רכיב BI Publisher Integration בתוך Oracle Concurrent Processing מאפשר לתוקף לא מזוהה להשתלט על המערכת דרך HTTP בלבד, בגרסאות 12.2.3 עד 12.2.14. הרשומה נכנסה לקטלוג המנוצלות יום אחד אחרי שפורסמה.
בגרסאות מסוימות של Juniper ScreenOS, הזנת סיסמה מסוימת בחיבור SSH או TELNET מספיקה כדי לקבל הרשאות ניהול. הרשומה אינה נוקבת בסיסמה ואינה מסבירה מאין הגיעה, והחולשה נכנסה לקטלוג המנוצלות באוקטובר 2025.
שליחת אובייקט מסוג SignedObject אל ממשק שורת הפקודה של Jenkins עוקפת את רשימת החסימה ומריצה קוד על השרת בלי שום הזדהות. מושפעות גרסאות 2.56 ומטה ו-LTS 2.46.1 ומטה, וקוד ניצול פומבי זמין כבר שנים.
כתבות חדשות ישירות לתיבה. בלי ספאם, הסרה בקליק אחד בכל רגע.