Microsoft: עדכון של Defender for Endpoint ב-Linux עלול להשבית את ההגנה אחרי אתחול
גרסאות 101.26042.0000 עד 101.26042.0009 של Defender for Endpoint ב-Linux עלולות להשבית את השירות אחרי שדרוג ואתחול. Microsoft מפנה לגרסה 101.26042.0011.
TL;DR בקצרה
- Microsoft מזהירה שבגרסאות 101.26042.0000 עד 101.26042.0009 של Defender for Endpoint ב-Linux השירות עלול להיות כבוי אחרי שדרוג ואתחול.
- ארגונים שמפעילים Defender for Servers עם עדכון אוטומטי של התוסף MDE.Linux עלולים לקבל גרסה פגומה בלי פעולה של מנהל.
- Microsoft הסירה את הגרסאות מערוץ ה-production והמליצה לשדרג ל-101.26042.0011.
- בעיה נוספת עלולה למנוע התקנה של 101.26042.x ב-RHEL 8 ו-9 במצב FIPS. התיקון מגיע ב-101.26052.0011.
Microsoft מזהירה שגרסאות 101.26042.0000 עד 101.26042.0009 של Defender for Endpoint ב-Linux עלולות להשאיר את השירות כבוי. זה קורה אחרי שדרוג ואתחול. The Register דיווח על כך ב-27 ביולי 2026. אם השירות כבוי, אין הגנה פעילה בשרת. הפתרון הוא שדרוג לגרסה 101.26042.0011.
Defender for Endpoint ב-Linux: מה בדיוק Microsoft מזהירה ממנו
לפי הערות השחרור של Microsoft, הבעיה חלה על שרתים ששודרגו והופעלו מחדש. השירות של Defender עלול להישאר כבוי בחלק מהמכשירים. זה חל על כל מערכות ה-Linux הנתמכות. Microsoft לא פירטה את הסיבה, לפי The Register.
Microsoft הסירה את הגרסאות הפגועות מערוץ ה-production, ולכן אי אפשר עוד להתקין אותן. מי שעדיין לא שדרג צריך לעבור ל-101.26042.0011. גרסה זו כוללת את התיקון, ואפשר לקפוץ אליה ישר גם מגרסאות ישנות שנתמכות.
יש גם קבוצה שעלולה לסבול מהבעיה בלי לדעת. אלה ארגונים שמפעילים Defender for Servers (תוכנית 1 או 2) עם Defender for Cloud ושילוב MDE. הם מקבלים עדכון אוטומטי של התוסף MDE.Linux כברירת מחדל. כלומר, השרתים עלולים לקבל גרסה פגומה בלי שמנהל התקין אותה. לפי Microsoft, הבעיה עלולה לפגוע בהגנה הפעילה בשרתים שהופעלו מחדש. זה נמשך עד שמבצעים את שלבי התיקון.
למה כשל שקט בכלי אבטחה הוא בעיה חמורה
כלי אבטחה שנכבה בשקט הוא בעיה קשה לזיהוי. השרת ממשיך לעבוד כרגיל, אבל ההגנה בזמן אמת חסרה. בלי ניטור ייעודי, אפשר לא להבחין בכך.
יש כאן גם נקודה מעניינת. התיעוד של Microsoft קובע שאין צורך באתחול אחרי עדכון של המוצר. מכאן שהכשל עלול להתגלות רק באתחול הבא של השרת. שרתי Linux רבים מאותחלים לעיתים רחוקות, ולכן הפער עלול להישאר פתוח זמן ארוך.
הערות השחרור מתארות בעיה נוספת. עדכון לגרסה 101.26042.x עלול להיכשל ב-Red Hat Enterprise Linux 8 ו-9 במצב FIPS. המכשירים נשארים אז בגרסה הקודמת עד שמגיעה חבילה מתוקנת. Microsoft מציינת שהבעיה נפתרה בגרסה 101.26052.0011 ומעלה.
איך בודקים אם Defender for Endpoint עדיין פעיל
ל-Defender for Endpoint ב-Linux יש כלי לשורת הפקודה בשם mdatp. הכלי מאפשר לבדוק את מצב המוצר ישירות בשרת.
לפי התיעוד של Microsoft, פקודת הבריאות מחזירה את הערך true כשהמוצר פועל כמצופה. זו הפקודה: mdatp health --field healthy.
כדי לוודא שההגנה בזמן אמת פעילה, הריצו את mdatp health --field real_time_protection_enabled. אם היא כבויה, אפשר להפעיל אותה שוב. הפקודה היא mdatp config real-time-protection --value enabled. זה לא מחליף שדרוג לגרסה המתוקנת.
איך מצמצמים את הסיכון בעדכון הבא
Microsoft מחלקת את העדכונים לשלושה ערוצים: insiders-fast, insiders-slow ו-production. מכשירים ב-insiders-fast מקבלים עדכונים ראשונים. אחריהם מגיעים מכשירי insiders-slow, ולבסוף production. Microsoft ממליצה להצמיד חלק מהמכשירים לערוצים הראשונים כדי לבדוק גרסאות חדשות.
אפשר להשתמש בכך כבדיקת קדם. הכניסו קבוצת שרתים קטנה לערוץ הראשון והפעילו אותה מחדש. ודאו ש-mdatp health --field healthy מחזיר true. רק אחר כך הרחיבו לשאר השרתים.
מה זה אומר עבורכם
- מפו גרסאות: רשמו אילו שרתי Linux מריצים את Defender for Endpoint ואיזו גרסה. חפשו את הטווח 101.26042.0000 עד 101.26042.0009.
- בדקו שרתים שאותחלו: הריצו
mdatp health --field healthy. אם התשובה אינהtrue, חקרו את הסיבה. - שדרגו: עברו ל-101.26042.0011 או לגרסה מאוחרת. ב-RHEL 8 ו-9 במצב FIPS השתמשו ב-101.26052.0011 ומעלה.
- בדקו עדכון אוטומטי: אם אתם עובדים עם Defender for Servers, בדקו אם העדכון האוטומטי של MDE.Linux פעיל. בדקו גם איזו גרסה הוא התקין.
- הוסיפו התראה: הגדירו התראה על שרת שמפסיק לדווח לפורטל של Defender. כך כשל שקט לא נשאר שקט.
מקורות והרחבה
- Microsoft Defender for Endpoint release notes (Linux known issues)Microsoft Learn
- Microsoft Defender for Endpoint leaves some Linux boxes defenseless after updateThe Register
- Deploy Microsoft Defender for Endpoint on Linux manuallyMicrosoft Learn
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
