HPE OneView: חולשה בציון 10 נוספה לקטלוג הניצול של CISA, והתיקון זמין מדצמבר
ב-7 בינואר 2026 הוסיפה CISA את CVE-2025-37164 ב-HPE OneView לקטלוג KEV. החולשה בציון 10 מאפשרת הרצת קוד בלי הזדהות, ו-HPE פרסמה תיקון באמצע דצמבר.
TL;DR בקצרה
- CISA הוסיפה ב-7 בינואר 2026 את CVE-2025-37164 לקטלוג KEV. זו חולשת הזרקת קוד בציון 10 ב-HPE OneView, בלי צורך בהזדהות.
- לפי Help Net Security, גרסאות לפני 11.0 פגיעות. HPE הוציאה גרסה 11.0 ותיקונים לגרסאות קודמות, ואין פתרון עוקף.
- לפי The Register מ-8 בינואר, HPE לא קיבלה דיווחי ניצול מלקוחות. Rapid7 ממליצה להניח פריצה אפשרית ולבדוק דרכי גישה.
- ב-15 בינואר דיווחה Check Point על מעל 40,000 ניסיונות ניצול ב-7 בינואר, שיוחסו לבוטנט RondoDox.
ב-7 בינואר 2026 הוסיפה CISA לקטלוג החולשות המנוצלות (KEV) את CVE-2025-37164, חולשה בציון 10 מתוך 10 ב-HPE OneView. היא מאפשרת לתוקף בלי הזדהות להריץ קוד על שרת הניהול. HPE פרסמה תיקון כבר באמצע דצמבר 2025.
HPE OneView היא קונסולה מרכזית לניהול שרתים, אחסון וציוד רשת. מי שמשתלט עליה שולט בתשתית כולה, כך כתבה The Register. הקטלוג של CISA מונה חולשות שיש עדות לניצול שלהן. לסוכנויות פדרליות בארה״ב יש מועד לתקן אותן, ובמקרה הזה הוא 28 בינואר 2026.
HPE OneView: איך החולשה עובדת ואילו גרסאות חשופות
זו חולשת הזרקת קוד (code injection) בנקודת קצה של ממשק ה-REST. לפי Check Point, הנקודה executeCommand, שקשורה לניהול מאגרי מזהים, מקבלת קלט בלי בדיקת הרשאה. המערכת מריצה את הקלט ישירות. כך תוקף מרחוק, בלי חשבון, מגיע להרצת פקודות.
לפי Help Net Security, הגרסאות שלפני 11.0 פגיעות. HPE הוציאה תיקונים לגרסאות קודמות, ויש גם גרסה 11.0. לפי HPE, אין פתרון עוקף או דרך הפחתה אחרת. את החולשה גילה החוקר Nguyen Quoc Khanh.
הפרטים הטכניים כבר היו פומביים לפני הכניסה לקטלוג. Help Net Security מדווחת שמודול Metasploit יצא ב-19 בדצמבר. Rapid7 ניתחה את התיקון והסבירה איך מפעילים את החולשה.
מה ידוע על הניצול של HPE OneView
הכניסה לקטלוג KEV מעידה שיש ניצול בשטח. לפי The Register מ-8 בינואר, HPE לא קיבלה דיווחים מלקוחות על ניצול. עם זאת Rapid7 ממליצה להניח שייתכן שפרצו כבר. היא מוסיפה לעבור על דרכי הגישה ועל הפרדת הרשתות.
באותו יום הוסיפה CISA לקטלוג גם את CVE-2009-0556, חולשת הזרקת קוד ב-PowerPoint מ-2009. Microsoft סגרה אותה עוד אז, בעדכון MS09-017. נראה שתוקפים עדיין מוצאים יעדים שלא עודכנו.
למה שרת ניהול הוא יעד אטרקטיבי
שרת ניהול מחזיק גישה למכשירים רבים בבת אחת. הוא מחזיק פרטי התחברות, ויכול לשנות הגדרות של שרתים ושל אחסון. לכן פריצה אחת שווה לתוקף כמה פריצות.
בנוסף, כלי ניהול יושבים בדרך כלל ברשת פנימית, וצוותים נוטים לדחות את העדכון שלהם. כאן התיקון קיים מאמצע דצמבר, שלושה שבועות לפני הכניסה לקטלוג.
מה זה אומר עבורכם
- אתרו את HPE OneView: בדקו אם יש כזו בארגון, ואיזו גרסה. גרסאות שלפני 11.0 פגיעות, אלא אם הותקן עליהן התיקון של HPE.
- עדכנו עכשיו: עברו ל-11.0 או התקינו את התיקון לגרסה שלכם. אין פתרון עוקף.
- סגרו גישה מהאינטרנט: ודאו שממשק הניהול לא חשוף החוצה. הגבילו אותו לרשת ניהול ייעודית ולמחשבי מנהלים.
- בדקו סימני פריצה: עברו על יומני הגישה, חפשו חשבונות מנהל חדשים והחליפו פרטי התחברות שהקונסולה מחזיקה.
- השתמשו בקטלוג KEV: גם אם אינכם גוף פדרלי, הוא רשימת עדיפויות טובה לתיקונים דחופים.
מה קרה מאז
ב-15 בינואר 2026 פרסמה Check Point מחקר על הניצול. לפי הפוסט, ב-7 בינואר בין 05:45 ל-09:20 בשעון UTC נרשמו מעל 40,000 ניסיונות ניצול. רובם יצאו מכתובת IP אחת בהולנד.
Check Point מייחסת את הפעילות לבוטנט RondoDox. זה בוטנט לינוקס שתוקף מכשירי IoT ושרתי אינטרנט, ומשמש להתקפות DDoS ולכריית מטבעות. היעדים העיקריים היו ארגוני ממשל, ואחריהם שירותים פיננסיים ותעשייה. לפי החברה, ניסיונות ראשונים נרשמו כבר ב-21 בדצמבר 2025.
מקורות והרחבה
- CISA Adds Two Known Exploited Vulnerabilities to CatalogCISA
- CISA flags actively exploited Office relic alongside fresh HPE flawThe Register
- Recently fixed HPE OneView flaw is being exploited (CVE-2025-37164)Help Net Security
- Patch Now: Active Exploitation Underway for Critical HPE OneView VulnerabilityCheck Point Research
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
