מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.
חולשות שגורמי תקיפה משתמשים בהן ממש עכשיו, לפי קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA. אם אחת מהן נוגעת למוצר שאתם משתמשים בו, זה המקום להתחיל.
בדיקת ההרשאות ב-Pentaho BA Server הסתמכה על הנתיב כפי שנכתב בבקשה ולא על הצורה המנורמלת שלו, וכך אפשר היה לעקוף אותה בלי חשבון. אלה הגרסאות שסוגרות.
חולשה ב-NAKIVO Backup & Replication מאפשרת לתוקף לא מזוהה למשוך קבצים מהשרת, וביניהם קובץ שמחזיק פרטי אימות בטקסט גלוי. כבר מנוצלת בפועל, והגרסה שסוגרת היא 11.0.0.88174.
ב-14 וב-15 במרץ 2025 הופנו כל התגיות של tj-actions/changed-files, מ-v1 ועד v45.0.7, אל commit זדוני שכתב סודות אל יומן ההרצה. הגרסה שסוגרת היא 46.
ב-11 במרץ 2025, בין 18:42 ל-20:31 UTC, הכיל reviewdog/action-setup@v1 קוד שכתב סודות אל יומן ההרצה. גם הצמדה לגרסה לא הגנה, וכך בודקים אם נפגעתם.
ברוקייד הסירה גישת root ממערכת ההפעלה של מתגי האחסון שלה, ובגרסאות 9.1.0 עד 9.1.1d6 מנהל מקומי יכול להחזיר אותה ולהריץ קוד בהרשאות מלאות. הגרסה שסוגרת היא 9.1.1d7.
חולשה בציון 8.6 ברכיב ה-GPU של שבבי קוואלקום מאפשרת לקוד שרץ על המכשיר לחרוג מההרשאות שלו, והיא כבר מנוצלת בשטח. איך התיקון מגיע בפועל לטלפון אנדרואיד.
שיבוש זיכרון ב-GPU של שבבי קוואלקום, בציון 8.6, מאפשר לקוד שרץ על המכשיר לחרוג מגבולות האפליקציה שלו. כך בודקים אם עדכון האבטחה בטלפון שלכם כבר כולל את התיקון.
משתמש מחובר בממשק הניהול של FreePBX Endpoint Manager יכול להזריק פקודות דרך בדיקת החיבור ולקבל גישה בהרשאות המשתמש asterisk. התיקון הוא גרסה 17.0.3.
חולשה בשירות ה-Remote Access SSL VPN של Cisco ASA ו-FTD מאפשרת לתוקף לא מזוהה להפעיל מחדש את חומת האש מרחוק. היא מנוצלת בשטח, וכך בודקים אם אתם חשופים.
חולשה בנתבי Archer C7 ו-TL-WR841N של TP-Link מאפשרת למי שיש לו גישת ניהול להריץ פקודות על הנתב דרך עמוד הבקרה להורים. הדגמים בסוף חיים, וזה מה שעושים.
חולשה באדובי אקרובט וריידר מאפשרת הרצת קוד כשנפתח מסמך PDF בנוי במיוחד. היא מנוצלת בשטח, והתיקון כבר זמין.
חולשה ב-Ivanti Endpoint Manager מאפשרת לתוקף לא מזוהה לדלות פרטי גישה שמאוחסנים במערכת. היא מנוצלת בשטח.
חולשה במרכזיות Cisco Unified Communications Manager מאפשרת לתוקף לא מזוהה לכתוב קבצים על השרת ולהרחיב הרשאות. הניצול דורש שירות שאינו פעיל כברירת מחדל.
תוקפים כבר מנצלים חולשה ב-SiteGuard Server Edition שמאפשרת למי שיש לו גישה לשרת להריץ פקודות מערכת בהרשאות root או SYSTEM. כך בודקים איזו גרסה רצה אצלכם ומה לעשות עד להתקנת העדכון.
חולשת קישורים סימבוליים בתוסף LiteSpeed ל-cPanel, שלפי הרשומה נוצלה בשטח כבר במאי 2026, מאפשרת למי שיש לו חשבון אחסון אחד לחרוג ממנו אל חשבונות אחרים על אותו שרת. אלה הגרסאות המתוקנות.
סימנס מאשרת ניצול פעיל של חולשה ב-Siemens Software Center, שמאפשרת למי שכבר נמצא על המחשב להריץ קוד בהרשאות היישום. כל הגרסאות שקדמו ל-V4.0.9.8 חשופות, וכך בודקים מה מותקן אצלכם.
חולשה ב-PaperCut NG ו-MF מנצלת את הדפדפן של מנהל מחובר כדי לבצע פעולות בשמו, עד כדי שינוי הגדרות אבטחה והרצת קוד. אלה הגרסאות המתוקנות והצעדים.
חולשת path traversal בכלי הגישה מרחוק ScreenConnect, בכל הגרסאות עד 23.9.7, מאפשרת לתוקף להגיע לקבצים מחוץ לתיקייה שהוקצתה לו ומשם להריץ קוד. הגרסה שסוגרת אותה היא 23.9.8.
חולשה ב-WinRAR שכבר נוצלה בשטח מאפשרת לתוקף להריץ קוד על המחשב ברגע שפותחים קובץ ארכיון שנשלח אליכם. כך בודקים גרסה ומעדכנים ל-7.13.
חולשה במערכת אנדרואיד מאפשרת לקוד שרץ על המכשיר להרחיב הרשאות בלי פעולה של המשתמש. היא מנוצלת בשטח, והעדכון כבר יצא.
חולשה בפלטפורמת Langflow מאפשרת למשתמש מזוהה להפעיל זרימות עבודה ששייכות למשתמשים אחרים. היא נמצאת ברשימת החולשות המנוצלות בפועל.
כתיבה מחוץ לתחום בקוד ה-netfilter של ליבת לינוקס, שקיימת מאז 2006, מאפשרת הסלמת הרשאות דרך user namespace. התיקון קיים מזמן, והחולשה נוספה לקטלוג המנוצלות באוקטובר 2025.
חולשה בכרום במחשבי ווינדוס אפשרה לתוקף לצאת מהבידוד של הדפדפן דרך קובץ זדוני. הגרסה שסוגרת אותה היא 134.0.6998.177, וכך בודקים מה רץ אצלכם.
תוקף שמבקש איפוס סיסמה לחשבון ב-OctoberCMS ושולח אחריו בקשה בנויה במיוחד נכנס לחשבון בלי להחזיק בסיסמה. החולשה בקטלוג המנוצלות של CISA מאז 2022, והתיקון הוא גרסה 1.1.5 או Build 472.
חולשה בשירות Power Pages אפשרה לתוקף להירשם לאתר ולקבל הרשאות שלא נועדו לו. מיקרוסופט תיקנה את השירות מצידה, וזה מה שנותר לבעלי אתרים לבדוק.
שרת המפות GeoServer מקבל XML בבקשות ומאפשר לתוקף להגדיר בתוכו הפניה לקובץ מקומי ולקבל את תוכנו. החולשה מנוצלת בפועל, והתיקונים הם 2.25.6, 2.26.3 ו-2.27.0.
חולשה ב-VMware ESXi מאפשרת למי שכבר השיג הרשאות בתוך תהליך ה-VMX לכתוב לליבת המארח ולשבור את הבידוד. היא מנוצלת בשטח, וזה מה שמעדכנים.
חולשה ב-N-central מאפשרת להגיע למידע במערכת דרך מסלול שעוקף את מסך ההתחברות. זהו הכלי שדרכו ספקי IT מנהלים מחשבים של לקוחות, וזה מה שמייקר אותה.
העדכון הראשון של N-central לא סגר את עקיפת ההזדהות עד הסוף. מה שנשאר פתוח מוביל להשתלטות על חשבונות, וגרסאות עד 2026.3.1 עדיין חשופות.
תוקף לא מזוהה יכול לשלוח בקשות רשת למערכות Unified Communications Manager ו-Unity Connection של סיסקו ולהריץ פקודות בהרשאת root. כך בודקים אם המערכת מעודכנת.
חולשה ב-Apache Struts מאפשרת הרצת קוד על השרת כשהגדרה בשם Dynamic Method Invocation נשארה מופעלת. כך בודקים אם היא דלוקה אצלכם ומה לכבות.
ב-USAHERDS של Acclaim Systems מוטמעים פרטי אימות קבועים בתוך הקוד, כך שמי שחילץ אותם פעם אחת נכנס לכל התקנה. החולשה מנוצלת בפועל וכמעט אינה רלוונטית לישראל.
קובץ גופן שבנוי בצורה מסוימת גורם לספריית FreeType לכתוב מחוץ לאזור הזיכרון שהקצתה, ומשם אפשר להגיע להרצת קוד. הספרייה יושבת בתוך אנדרואיד ולינוקס, וכך בודקים אם אתם מעודכנים.
חולשה בוורדפרס שנכנסה לקטלוג החולשות המנוצלות של CISA מאפשרת לפונה שלא הזדהה לגרום לאתר לטעון קובץ PHP אחר במקום תבנית העמוד. מה כבר ידוע ואיך מקטינים את החשיפה.
הרשומה מתארת שימוש בזיכרון אחרי שחרורו ב-Internet Explorer 6, 7 ו-8, שמופעל דרך רצף CSS והמאפיין clip. הציון 8.1 ולא יותר, כי מורכבות התקיפה מסומנת בווקטור כגבוהה.
Artifactory בהתקנה עצמית בדק מי חתם על ה-token ולא מה מותר לו, וכך אפשר היה להסלים הרשאות. גרסת התיקון היא 7.133.11, והחולשה מנוצלת בשטח.
חולשה ב-FortiOS וב-FortiSwitchManager מאפשרת לתוקף בלי הזדהות להריץ קוד על המכשיר. כאן הגרסה המתקנת לכל ענף, ומה שקורה דווקא עם ענף 6.4.
חולשה ב-Web Help Desk מאפשרת לתוקף בלי חשבון להגיע לפונקציונליות מוגבלת במערכת. גרסת התיקון היא 2026.1, ו-CISA נתנה שלושה ימים בלבד לסגור אותה.
חולשה בשרתי ScreenConnect עד גרסה 25.2.3 מאפשרת הרצת קוד לתוקף שכבר החזיק במפתחות הפנימיים של השרת. CISA מסמנת אותה כמנוצלת, וכך סוגרים אותה.
AjaxPro בגרסאות שלפני 21.10.30.1 מרכיבה אובייקטים מנתונים שהגיעו מהדפדפן בלי להגביל אותם, ומאפשרת הרצת קוד על השרת. כמעט חמש שנים אחרי הפרסום CISA סימנה אותה כמנוצלת.
תוקף שמכיר את המספרים הסידוריים של מכשירי Fortinet בארגון יכול לעקוף את ההתחברות ולקבל הרשאות super-admin, אם ה-Security Fabric מופעל. כך בודקים אם אתם חשופים.
חולשה במנוע JavaScript של כרום אפשרה לתוקף לקרוא ולכתוב בזיכרון הדפדפן רק מכניסה לאתר נגוע, וגוגל תיקנה אותה בעדכון חירום. כך בודקים שאתם מעודכנים.
חולשה בשרתי Microsoft Exchange מאפשרת לתוקף להריץ קוד בדפדפן של הקורבן דרך תוכן זדוני בממשק הדואר. מנוצלת בפועל, וכך בודקים אם השרת שלכם מעודכן.
חולשה בקושחת DD-WRT לראוטרים מאפשרת לתוקף מרוחק להשתלט על הראוטר דרך שירות UPnP, ורשת בוטים כבר מנצלת אותה. כך בודקים אם אתם חשופים ומה עושים.
חולשת הזרקת פקודות ב-VMware Aria Operations ניתנת לניצול בלי הזדהות בזמן שמתבצע הליך הגירה נתמך. היא מנוצלת בשטח.
ב-Craft CMS 4 ו-5 תוקף שמחזיק את מפתח האבטחה של האתר יכול להפוך אותו להרצת קוד על השרת. התיקון הוא 4.13.8 ו-5.5.8, ולמי שלא יכול לעדכן יש מה לעשות בינתיים.
באג בטיפול של Git בתווי סוף שורה אפשר למאגר שנבנה במיוחד להריץ קוד על המחשב של מי ששכפל אותו. הגרסאות שסוגרות אותו נעות מ-2.43.7 עד 2.50.1.
חולשה ב-DELMIA Apriso אפשרה למי שמחזיק בהרשאות גבוהות לגרום למערכת להריץ קוד שהוא כתב. ההשפעה חורגת מהרכיב עצמו, ואלה המהדורות בטווח ומה מתקינים.
חולשה בכלי pkexec של polkit מאפשרת למשתמש מקומי בלי הרשאות מיוחדות להגיע להרשאות root במערכות לינוקס. התיקון קיים מ-2022, היא נמצאת בקטלוג המנוצלות של CISA, וכך בודקים אם המערכת עדיין חשופה.
חולשת DLL Sideloading ברכיב Dante Application Library עד גרסה 1.2.0 מאפשרת להריץ קוד זר בתוך תהליך מהימן. מנוצלת בפועל, ונוגעת למי שמתחזק מערכות אודיו מקצועיות.
כתבות חדשות ישירות לתיבה. בלי ספאם, הסרה בקליק אחד בכל רגע.