חומת אש, VPN ושער דואר: שלוש פרצות יום אפס ב-Palo Alto, Cisco ו-Ivanti
בתוך יומיים פרסמו שלוש יצרניות ציוד רשת תיקונים לחולשות שכבר מנוצלות במתקפות: בממשק הניהול של חומות האש של Palo Alto, בשער הדואר של Cisco וב-VPN של Ivanti. זה מה שצריך לבדוק השבוע.
TL;DR בקצרה
- Palo Alto: חולשה בממשק הניהול של PAN-OS מאפשרת הרצת קוד כ-root, וכבר נצפה ניצול מוגבל שלה.
- Cisco: מייל אחד עם קובץ מצורף זדוני מספיק כדי להשתלט על Secure Email Gateway, בציון חומרה 9.8.
- Ivanti: תוקפים שרשרו שלוש חולשות ב-Connect Secure, לא השאירו עקבות על הדיסק ותקפו משם את Active Directory.
- שני תיקונים כבר זמינים ל-Ivanti, והשלישי צפוי בשבועות הקרובים.
יש לעסק שלכם חומת אש, שער VPN לעבודה מרחוק או מערכת לסינון דואר? זה השבוע לבדוק אותם. בין 13 ל-14 באוקטובר פרסמו שלוש יצרניות ציוד רשת תיקונים לחולשות יום אפס. תוקפים כבר מנצלים אותן בחומות האש של Palo Alto Networks ובשער הדואר המאובטח של Cisco. גם ה-VPN של Ivanti תחת מתקפה. חולשת יום אפס (Zero-Day) היא פרצה שתוקפים התחילו לנצל לפני שהיה לה תיקון.
Palo Alto: הרצת קוד כ-root דרך ממשק הניהול
החולשה CVE-2026-0322 יושבת בממשק הניהול של PAN-OS, מערכת ההפעלה של חומות האש של החברה. היא מאפשרת להריץ קוד בהרשאות root, כלומר שליטה מלאה במכשיר. התנאי: התוקף צריך להתחבר עם הרשאות גבוהות, ולהחזיק גישת רשת לממשק.
החולשה קיבלה ציון 8.6 בסולם CVSS, שמדרג חומרה מ-0 עד 10. אבל Palo Alto הצמידה לה את דחיפות הטיפול הגבוהה ביותר. החברה מדווחת על ניצול מוגבל מאוד ופרסמה שלוש כתובות IP שקשורות לניסיונות התקיפה.
המוצרים הפגיעים הם חומות האש מסדרות PA ו-VM ומערכת הניהול Panorama. לעומת זאת, Cloud NGFW ו-Prisma Access לא מושפעים. אין פתרון עוקף. התיקונים זמינים בגרסאות כמו 12.2.4, 12.1.10-h2, 11.2.16, 11.1.16-h3 ו-10.2.18-h12. יש גם עדכונים נוספים לכל ענף.
העובדה שנדרשת התחברות לא אמורה להרגיע. תוקפים גונבים פרטי מנהל בפישינג, ולפעמים הפרטים פשוט דולפים. ממשק ניהול שפתוח לאינטרנט מזמין בדיוק את זה.
Cisco: מייל אחד עם צרופה, ושליטה בשרת
החמורה מבין השלוש היא CVE-2026-76519 ב-Cisco Secure Email Gateway, עם ציון 9.8. זו המערכת שמסננת דואר נכנס ויוצא בארגונים. התוקף לא צריך להתחבר למערכת. מספיק שישלח מייל עם צרופה שבנה במיוחד. כך הוא יכול לכתוב קבצים על המכשיר ולהריץ פקודות בהרשאות root. Cisco מסרה שגילתה ניצול פעיל של החולשה באוקטובר.
המכשירים שבסיכון הם אלה ששירות File Reputation פעיל בהם ומשויך למדיניות דואר. השירות הוא חלק ממנגנון ההגנה מפני נוזקות AMP. תנאי נוסף: גרסת רכיב Content Scanner Tools בהם נמוכה מ-25.3.0.5525. עדכון הרכיב לגרסה הזו סוגר את החולשה בלי לשדרג את מערכת ההפעלה ובלי הפעלה מחדש.
ארגון Shadowserver, שסורק את האינטרנט, מונה כמעט 300 מכשירים כאלה שחשופים לרשת. וזו לא הפעם הראשונה: כבר בספטמבר סגרה Cisco באותם מכשירים חולשה אחרת שתוקפים ניצלו.
Ivanti: שלוש פרצות בשרשרת, ובלי עקבות על הדיסק
הסיפור המתוחכם ביותר שייך ל-Ivanti Connect Secure, שער VPN נפוץ בארגונים. חברת האבטחה Volexity החלה לחקור ב-5 באוקטובר פעילות חשודה אצל לקוח. היא גילתה שקבוצה שהיא מכנה UTA0576 משרשרת שלוש חולשות שלא היו ידועות. אלה עקיפת הזדהות, העלאת קבצים שמאפשרת הרצת קוד, והסלמת הרשאות ל-root.
לפי Volexity, התקיפות החלו לכל המאוחר ב-3 באוקטובר. הן פגעו במכשירים שהריצו את הגרסה העדכנית ביותר שהייתה זמינה, 22.8R2.4.
התוקפים לא השאירו דלת אחורית. הם הריצו את השרשרת מחדש בכל פקודה, שינו נתונים רק בזיכרון ומחקו רשומות מהלוגים. לכן כלי בדיקת השלמות של Ivanti, Integrity Checker, לא זיהה דבר.
מה שהם כן עשו מדאיג במיוחד. הם השתמשו בחשבון השירות של המכשיר ב-Active Directory. בעזרתו חיפשו סיסמאות של מנהלים מקומיים (LAPS) ומפתחות שחזור של BitLocker. הם גם ניסו לפרוץ סיסמאות של משתמשים. במילים אחרות, ה-VPN שימש קרש קפיצה לרשת הפנימית.
Ivanti פרסמה ב-13 באוקטובר תיקון לחולשה CVE-2026-104935. התיקון מכסה את עקיפת ההזדהות ואת הרצת הקוד, והחברה הודתה בניצול מוגבל. את התיקון להסלמת ההרשאות Ivanti עוד לא פרסמה. לפי Volexity, הוא צפוי בשבועות הקרובים.
CISA, סוכנות הסייבר האמריקאית, הוסיפה את החולשה לרשימת החולשות המנוצלות שלה. בנוסף, Shadowserver עוקב אחרי מעל 5,500 מכשירי Connect Secure שחשופים לאינטרנט.
Palo Alto, Cisco ו-Ivanti: למה דווקא הציוד שבקצה הרשת
חומות אש, שערי VPN ושרתי דואר יושבים על גבול הרשת. הם פתוחים לאינטרנט מעצם תפקידם, ומחזיקים מפתחות לכל מה שמאחוריהם. על רובם אי אפשר להתקין תוכנות אבטחה רגילות. בנוסף, מעטים בודקים את הלוגים שלהם. לכן הם יעד מועדף. שלושת המקרים של השבוע מראים שהתוקפים מגיעים אליהם לפני התיקון, לא אחריו.
המקור המלא: הדיווח ב-Cyber Security News.
מה זה אומר עבורכם
- מיפוי, היום: רשמו איזו חומת אש, איזה VPN ואיזה שער דואר יש לכם ובאיזו גרסה. אם ספק IT חיצוני מנהל אותם, בקשו ממנו אישור בכתב שהוא התקין את העדכונים.
- Palo Alto: עדכנו לגרסה המתוקנת של הענף שלכם. בינתיים ודאו שממשק הניהול נגיש רק מכתובות פנימיות מוכרות או משרת קפיצה ייעודי, ולא מהאינטרנט.
- Cisco: בדקו את גרסת Content Scanner Tools בפקודה
contentscannerstatus, ועדכנו ל-25.3.0.5525 ומעלה. בהודעת Cisco יש גם בדיקה לסימני פריצה:grep "System Security" system_logs. הריצו אותה על כל מכשיר באשכול. - Ivanti: התקינו את העדכון של 13 באוקטובר ועקבו אחרי התיקון השלישי. אל תסתמכו רק על Integrity Checker, וחפשו בלוגים בקשות חריגות לכתובת welcome.cgi עם הכותרת X-DSCGI-PATH.
- חשד לפריצה? מחליפים מפתחות: החליפו סיסמאות של חשבונות שירות שהמכשיר משתמש בהם, וגם תעודות ומפתחות שמותקנים עליו. ב-Ivanti, בדקו גם אם התוקפים חשפו סיסמאות LAPS ומפתחות BitLocker.
מקורות והרחבה
- Hackers Exploit Palo Alto PAN-OS 0-day Flaw to Gain Root Code Execution on FirewallsCyber Security News
- CVE-2026-0322: PAN-OS Authenticated RCE in the Management InterfacePalo Alto Networks
- Cisco patches new Secure Email Gateway zero-day exploited in attacksBleepingComputer
- Cisco Secure Email Gateway Arbitrary File Write VulnerabilityCisco
- Volexity Uncovers Stealthy Ivanti VPN Attack Using Three Zero-Day VulnerabilitiesSecurity Affairs
- A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-DaysVolexity
- Ivanti warns of Connect Secure zero-day exploited in attacksBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
