CISA, ה-FBI וה-NCSC: להחליף נתבים, חומות אש ושערי VPN שהיצרן הפסיק לתמוך בהם

CISA פרסמה ב-5 בפברואר 2026 את ההנחיה BOD 26-02. היא מחייבת סוכנויות פדרליות בארצות הברית להוציא משימוש התקני קצה שהיצרן הפסיק לתמוך בהם. התקני קצה הם נתבים, חומות אש, שערי VPN ומאזני עומסים. כלומר, הציוד שיושב על גבול הרשת ופונה לאינטרנט. ביום הפרסום הוציאו CISA, ה-FBI וה-NCSC הבריטי גם דף מידע משותף על אותו נושא.

ההנחיה מיועדת לסוכנויות הפדרליות בלבד, והיא לא חלה על עסקים בישראל. אבל המסר של שלוש הרשויות רלוונטי לכל מי שמחזיק נתב או חומת אש ישנים. לפי CISA, תוקפים מתקדמים מפעילים כבר קמפייני ניצול רחבים נגד התקנים כאלה.

BOD 26-02: מה CISA דורשת ועד מתי

ההנחיה קובעת לוח זמנים שמתחיל ב-5 בפברואר 2026. באותו יום חלה חובת עדכון. התקן שהיצרן עדיין תומך בו אבל מריץ גרסה שאינה נתמכת צריך לעבור לגרסה נתמכת. זה חל גם על הקושחה, וכל עוד העדכון לא פוגע בתפקוד קריטי.

המועד הבא הוא 5 במאי 2026. אז הסוכנויות מגישות מלאי של ההתקנים מהרשימה של CISA. שנה אחרי כן, ב-5 בפברואר 2027, הן מוציאות משימוש את ההתקנים מהרשימה שתמיכתם מסתיימת עד אותו מועד.

ההחלפה המלאה של כל ההתקנים שזוהו צריכה להסתיים עד 5 באוגוסט 2027. לבסוף, עד 5 בפברואר 2028, הסוכנויות צריכות להפעיל תהליך קבוע. התהליך מגלה התקני קצה ועוקב אחרי מועדי סוף התמיכה. בינתיים CISA עצמה תספק רשימה ראשונית של התקנים כאלה.

מהו התקן קצה שנגמרה התמיכה בו

לפי דף המידע המשותף, התקן קצה הוא ציוד שיושב על גבול הרשת ונגיש מהאינטרנט. ההתקן מפסיק לקבל תמיכה כשהיצרן כבר לא עוקב אחרי פגמים בו. היצרן גם לא מוציא לו תיקונים ל-CVE, עדכוני אבטחה או תיקונים דחופים.

הבעיה פשוטה. כל חולשה חדשה שמתגלה בדגם כזה נשארת בלי תיקון. לפי הדף, גורמים בחסות מדינה מנצלים התקנים כאלה כדי להיכנס לרשת, להישאר בה ולשלוף מידע רגיש. הם משתמשים בהם גם כנקודת כניסה לסביבות מודרניות ונתמכות.

CISA מציינת שההתקנים האלה פגיעים במיוחד לחולשות שזה עתה התגלו. הדף מוסיף שציוד כזה עלול גם ליצור בעיות תאימות שמפריעות לעבודה.

BOD 26-02 בעסק קטן: מה אפשר ליישם עכשיו

שלוש הרשויות ממליצות לכל ארגון להתחיל במלאי. יש לסרוק את הרשת ולאתר התקנים שלא תועדו או שהם ישנים. אחר כך צריך לרשום לכל התקן את מועד סוף התמיכה שלו, ולבדוק את הרשימה מדי פעם.

הצעד השני הוא החלפה. לפי הדף, ככל שההתקנים מזדקנים, הטיפול בסיכון שלהם קשה ויקר מבעבר. לכן כדאי להחליף אותם בלי לחכות.

אם אי אפשר להחליף מיד, יש להפעיל את הגרסה העדכנית ביותר שנתמכת. הדף ממליץ גם להפעיל עדכונים אוטומטיים בכל ההתקנים. כך תיקונים מגיעים בזמן, בלי תלות במי שזוכר לבדוק.

בפועל, הרבה עסקים לא יודעים מה הדגם והגרסה של הנתב שבמשרד. אם הנתב הגיע מספקית האינטרנט, שאלו אותה אם יש עדכון. לרוב היא זו שמפיצה את הקושחה.

עוד ב-GEEKLIK: באג בן 16 שנה בשבבי Wi-Fi של Broadcom מאפשר להשתלט על נתבים בלי סיסמה

מה הלאה

CISA תספק רשימה ראשונית של התקנים שפג תוקף התמיכה בהם. היא גם תגיש דוח סטטוס על ההנחיה עד 5 במאי 2027.

מי שרוצה להתכונן מראש לא צריך לחכות לרשימה. מלאי של הציוד שלכם הוא צעד שאפשר לעשות כבר היום.