חומת אש, VPN ושער דואר: שלוש פרצות יום אפס ב-Palo Alto, Cisco ו-Ivanti
בתוך יומיים פרסמו שלוש יצרניות ציוד רשת תיקונים לחולשות שכבר מנוצלות במתקפות: בממשק הניהול של חומות האש של Palo Alto, בשער הדואר של Cisco וב-VPN של Ivanti. זה מה שצריך לבדוק השבוע.
TL;DR בקצרה
- Palo Alto: חולשה בממשק הניהול של PAN-OS מאפשרת הרצת קוד כ-root, וכבר נצפה ניצול מוגבל שלה.
- Cisco: מייל אחד עם קובץ מצורף זדוני מספיק כדי להשתלט על Secure Email Gateway, בציון חומרה 9.8.
- Ivanti: תוקפים שרשרו שלוש חולשות ב-Connect Secure, לא השאירו עקבות על הדיסק ותקפו משם את Active Directory.
- שני תיקונים כבר זמינים ל-Ivanti, והשלישי צפוי בשבועות הקרובים.
אם לעסק שלכם יש חומת אש, שער VPN לעבודה מרחוק או מערכת לסינון דואר, זה השבוע לבדוק אותם. בין 13 ל-14 באוקטובר פרסמו שלוש יצרניות ציוד רשת תיקונים לחולשות יום אפס שכבר מנוצלות במתקפות: בחומות האש של Palo Alto Networks, בשער הדואר המאובטח של Cisco וב-VPN של Ivanti. חולשת יום אפס (Zero-Day) היא פרצה שתוקפים התחילו לנצל לפני שהיה לה תיקון.
Palo Alto: הרצת קוד כ-root דרך ממשק הניהול
החולשה CVE-2026-0322 נמצאת בממשק הניהול של PAN-OS, מערכת ההפעלה של חומות האש של החברה. היא מאפשרת למי שמחובר עם הרשאות גבוהות ויש לו גישת רשת לממשק להריץ קוד בהרשאות root, כלומר שליטה מלאה במכשיר. החולשה קיבלה ציון 8.6 בסולם CVSS, שמדרג חומרה מ-0 עד 10, אבל Palo Alto הצמידה לה את דחיפות הטיפול הגבוהה ביותר. החברה מדווחת על ניצול מוגבל מאוד ופרסמה שלוש כתובות IP שקשורות לניסיונות התקיפה.
המוצרים הפגיעים הם חומות האש מסדרות PA ו-VM ומערכת הניהול Panorama, ואילו Cloud NGFW ו-Prisma Access לא מושפעים. אין פתרון עוקף, והתיקונים זמינים בגרסאות כמו 12.2.4, 12.1.10-h2, 11.2.16, 11.1.16-h3 ו-10.2.18-h12, עם עדכונים נוספים לכל ענף. העובדה שנדרשת התחברות לא אמורה להרגיע: פרטי מנהל נגנבים בפישינג או דולפים, וממשק ניהול שפתוח לאינטרנט מזמין בדיוק את זה.
Cisco: מייל אחד עם קובץ מצורף, ושליטה בשרת
החמורה מבין השלוש היא CVE-2026-76519 ב-Cisco Secure Email Gateway, המערכת שמסננת דואר נכנס ויוצא בארגונים, עם ציון 9.8. תוקף שלא מחובר למערכת שולח מייל עם קובץ מצורף שנבנה במיוחד, ויכול לכתוב קבצים על המכשיר ולהריץ פקודות בהרשאות root. Cisco מסרה שגילתה ניצול פעיל של החולשה באוקטובר.
בסיכון נמצאים מכשירים ששירות File Reputation, חלק ממנגנון ההגנה מפני נוזקות AMP, מופעל בהם ומשויך למדיניות דואר, וגרסת רכיב Content Scanner Tools בהם נמוכה מ-25.3.0.5525. עדכון הרכיב לגרסה הזו סוגר את החולשה בלי לשדרג את מערכת ההפעלה ובלי הפעלה מחדש. ארגון Shadowserver, שסורק את האינטרנט, מונה כמעט 300 מכשירים כאלה שחשופים לרשת. וזו לא הפעם הראשונה: כבר בספטמבר תוקנה חולשה מנוצלת אחרת באותם מכשירים.
Ivanti: שלוש פרצות בשרשרת, ובלי עקבות על הדיסק
הסיפור המתוחכם ביותר שייך ל-Ivanti Connect Secure, שער VPN נפוץ בארגונים. חברת האבטחה Volexity החלה לחקור ב-5 באוקטובר פעילות חשודה אצל לקוח, וגילתה שקבוצה שהיא מכנה UTA0576 משרשרת שלוש חולשות שלא היו ידועות: עקיפת הזדהות, העלאת קובץ שמאפשרת הרצת קוד, והסלמת הרשאות ל-root. לפי Volexity, התקיפות החלו לכל המאוחר ב-3 באוקטובר, על מכשירים שהריצו את הגרסה העדכנית ביותר שהייתה זמינה, 22.8R2.4.
התוקפים לא השאירו דלת אחורית. הם הריצו את השרשרת מחדש בכל פקודה, שינו נתונים רק בזיכרון ומחקו רשומות מהלוגים, ולכן כלי בדיקת השלמות של Ivanti, Integrity Checker, לא זיהה דבר. מה שהם כן עשו מדאיג יותר: בעזרת חשבון השירות של המכשיר ב-Active Directory הם חיפשו סיסמאות של מנהלים מקומיים (LAPS) ומפתחות שחזור של BitLocker, וניסו לפרוץ סיסמאות של משתמשים. במילים אחרות, ה-VPN שימש קרש קפיצה לרשת הפנימית.
Ivanti פרסמה ב-13 באוקטובר תיקון לחולשה CVE-2026-104935, שמכסה את עקיפת ההזדהות ואת הרצת הקוד, והודתה בניצול מוגבל. התיקון להסלמת ההרשאות עוד לא פורסם, ולפי Volexity הוא צפוי בשבועות הקרובים. CISA, סוכנות הסייבר האמריקאית, הוסיפה את החולשה לרשימת החולשות המנוצלות שלה, ו-Shadowserver עוקב אחרי יותר מ-5,500 מכשירי Connect Secure שחשופים לאינטרנט.
למה דווקא הציוד שבקצה הרשת
חומות אש, שערי VPN ושרתי דואר יושבים על גבול הרשת, פתוחים לאינטרנט מעצם תפקידם ומחזיקים מפתחות לכל מה שמאחוריהם. על רובם אי אפשר להתקין תוכנת אבטחה רגילה, ומעטים בודקים את הלוגים שלהם. לכן הם יעד מועדף, ושלושת המקרים של השבוע מראים שהתוקפים מגיעים אליהם לפני התיקון, לא אחריו.
מה זה אומר עבורכם
- מיפוי, היום: רשמו איזו חומת אש, איזה VPN ואיזה שער דואר יש לכם ובאיזו גרסה. אם ספק IT חיצוני מנהל אותם, בקשו ממנו אישור בכתב שהעדכונים הותקנו.
- Palo Alto: עדכנו לגרסה המתוקנת של הענף שלכם, ובינתיים ודאו שממשק הניהול נגיש רק מכתובות פנימיות מוכרות או משרת קפיצה ייעודי, ולא מהאינטרנט.
- Cisco: בדקו את גרסת Content Scanner Tools בפקודה
contentscannerstatus, עדכנו ל-25.3.0.5525 ומעלה, והריצו על כל מכשיר באשכול את בדיקת סימני הפריצה שבהודעת Cisco:grep "System Security" system_logs. - Ivanti: התקינו את העדכון של 13 באוקטובר ועקבו אחרי התיקון השלישי. אל תסתמכו רק על Integrity Checker, וחפשו בלוגים בקשות חריגות לכתובת welcome.cgi עם הכותרת X-DSCGI-PATH.
- חשד לפריצה? מחליפים מפתחות: החליפו סיסמאות של חשבונות שירות שהמכשיר משתמש בהם, וגם תעודות ומפתחות שמותקנים עליו. ב-Ivanti, בדקו גם אם סיסמאות LAPS ומפתחות BitLocker נחשפו.
מקורות והרחבה
- Hackers Exploit Palo Alto PAN-OS 0-day Flaw to Gain Root Code Execution on FirewallsCyber Security News
- CVE-2026-0322: PAN-OS Authenticated RCE in the Management InterfacePalo Alto Networks
- Cisco patches new Secure Email Gateway zero-day exploited in attacksBleepingComputer
- Cisco Secure Email Gateway Arbitrary File Write VulnerabilityCisco
- Volexity Uncovers Stealthy Ivanti VPN Attack Using Three Zero-Day VulnerabilitiesSecurity Affairs
- A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-DaysVolexity
- Ivanti warns of Connect Secure zero-day exploited in attacksBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
