Broadcom: חולשת vCenter Server מ-2024 מנוצלת בפועל, ו-CISA הוסיפה אותה לקטלוג
ב-23 בינואר 2026 אישרה Broadcom ניצול של CVE-2024-37079, חולשה בציון 9.8 ב-vCenter Server שתוקנה ביוני 2024. אין פתרון עוקף, ורק עדכון מגן על השרת.
TL;DR בקצרה
- Broadcom עדכנה ב-23 בינואר 2026 את הייעוץ מ-2024 ואישרה שיש מידע על ניצול של CVE-2024-37079 בפועל.
- החולשה היא גלישת זיכרון ב-DCE/RPC של vCenter Server בציון 9.8, והיא מאפשרת הרצת קוד מרחוק בלי הרשאות.
- הגרסאות המתוקנות הן 8.0 U2d, 8.0 U1e ו-7.0 U3r. אין פתרון עוקף.
- CISA הוסיפה את החולשה לקטלוג החולשות המנוצלות עם מועד טיפול ב-13 בפברואר 2026. אין פרטים על התוקפים או על היקף התקיפות.
Broadcom אישרה ב-23 בינואר 2026 שתוקפים ניצלו את CVE-2024-37079, חולשה קריטית ב-vCenter Server שתוקנה כבר ביוני 2024. החולשה מאפשרת לתוקף עם גישת רשת לשרת להריץ עליו קוד מרחוק. הוא לא צריך הרשאות, וגם לא פעולה של משתמש. סוכנות הסייבר האמריקאית CISA הוסיפה אותה באותו יום לקטלוג החולשות המנוצלות.
מה מאפשרת CVE-2024-37079 ב-vCenter
vCenter Server היא פלטפורמת הניהול של סביבת הוירטואליזציה vSphere של Broadcom VMware. דרכה מנהלי IT שולטים במארחי ESXi ובמכונות הווירטואליות.
החולשה היא גלישת זיכרון במימוש של פרוטוקול DCE/RPC. תוקף שמשגר חבילת רשת מיוחדת עלול להשיג הרצת קוד מרחוק. לפי BleepingComputer, התקיפה פשוטה ואינה דורשת הרשאות. ציון ה-CVSS הוא 9.8.
Broadcom עדכנה את הייעוץ המקורי מ-2024 והוסיפה הודעה. לדבריה, יש לה מידע שמעיד שניצול של CVE-2024-37079 התרחש בפועל.
הפרטים על התקיפות חסרים. Broadcom לא מסרה נתונים על היקף הניצול, ולא השיבה לשאלות של The Register. בקטלוג של CISA השימוש בכופרה מסומן כ״לא ידוע״. גם הזהות של התוקפים לא ידועה.
אילו גרסאות של vCenter Server מתוקנות
VMware פרסמה את הייעוץ המקורי ב-18 ביוני 2024. הוא כיסה את vCenter Server בגרסאות 7.0 ו-8.0, וגם את VMware Cloud Foundation בגרסאות 4.x ו-5.x.
הגרסאות המתוקנות הן 8.0 U2d, 8.0 U1e ו-7.0 U3r. עבור Cloud Foundation, התיקונים מפורטים במאמר KB88287.
באותו ייעוץ יש עוד שתי חולשות. CVE-2024-37080 היא גלישת זיכרון נוספת ב-DCE/RPC, גם היא בציון 9.8. CVE-2024-37081 היא תצורת sudo שגויה. היא מאפשרת למשתמש מקומי מאומת לעלות להרשאות root בשרת, בציון 7.8. הגרסאות המתוקנות מטפלות גם בהן.
אין פתרון עוקף. לפי הייעוץ של 2024, VMware בדקה פתרונות בתוך המוצר ומצאה שאינם ישימים. העדכון לא פוגע במכונות וירטואליות שרצות. עם זאת, ממשקי הניהול עשויים להיות לא זמינים לזמן קצר.
למה CVE-2024-37079 מהווה סיכון גם אחרי שנה וחצי
התיקון זמין מאז יוני 2024. ארגון שלא עדכן מאז נשאר חשוף, והניצול שאושר ב-2026 מוכיח שתוקפים עדיין מחפשים שרתים כאלה.
קייטלין קונדון (Caitlin Condon) מ-VulnCheck אמרה ל-The Register שכנראה כבר הייתה לתוקף דריסת רגל בסביבת הקורבן. לדבריה, שרת vCenter אף פעם לא אמור להיות חשוף לאינטרנט. זו הערכה שלה, ואין לה אישור מ-Broadcom.
קונדון הזכירה גם חולשה מ-2023 באותו פרוטוקול, CVE-2023-34048. לפי The Register, לפחות שלוש קבוצות תקיפה בעלות זיקה לסין ניצלו אותה.
CISA קבעה מועד טיפול ב-13 בפברואר 2026 לסוכנויות פדרליות בארצות הברית. אין לכם חובה כזאת, אבל כדאי להתייחס לתאריך כאל אמת מידה.
מה זה אומר עבורכם
- בדקו את הגרסה: השוו את vCenter Server לגרסאות 8.0 U2d, 8.0 U1e ו-7.0 U3r, או לגרסה חדשה מהן. לקוחות Cloud Foundation יעבדו לפי KB88287.
- עדכנו עכשיו: אין פתרון עוקף. גבו את השרת לפני העדכון, ותכננו חלון קצר שבו ממשקי הניהול לא זמינים.
- בודדו את vCenter: השרת לא צריך להיות חשוף לאינטרנט. הגבילו גישה לרשת ניהול ייעודית או ל-VPN.
- אם לא עדכנתם מ-2024: אל תניחו שהשרת נקי. בדקו חשבונות חדשים, משימות חריגות וגישות מכתובות לא מוכרות.
- הוסיפו ל-vCenter מעקב: שלחו את היומנים למערכת מרכזית. כך אפשר לזהות ניסיון חדירה גם אחרי מעשה.
מקורות והרחבה
- CISA Adds One Known Exploited Vulnerability to Catalog (CVE-2024-37079)CISA
- Patch or die: VMware vCenter Server bug fixed in 2024 under attack todayThe Register
- CISA says critical VMware RCE flaw now actively exploitedBleepingComputer
- VMware fixes critical vCenter RCE vulnerability, patch nowBleepingComputer
- CVE-2024-37079 (NVD)NVD
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
