ב‑ 24 באוקטובר 2026, בשעה 11:35 לפי שעון UTC, נפרץ שרת שלא היה נגיש מהאינטרנט. הגישה אליו עברה דרך מנהרה שהתוקף בנה בעצמו פחות משעה וחצי קודם לכן, מתוך חומת אש שנפלה לידיו באותו בוקר. השרת הזה מנהל במרוכז את כל חומות האש של הארגון, כלומר הוא מחזיק את התצורה, את אישורי הגישה ואת הגדרות הרשת של כולן. פריצה אליו אינה פריצה למכשיר נוסף. היא פריצה לשכבה שמנהלת את כל המכשירים.
את מתקפת הסייבר תיעדה חברת Dream הישראלית, שנתקלה בו ב‑ 25 באוקטובר ופרסמה את המחקר ב‑ 27 באוקטובר. היעד הינו ארגון שמאפייניו, לפי Dream, מצביעים על זיקה לממשל האמריקאי: אימות בכרטיס CAC, תחילית שמות אחידה ומתכונת שמות נכסים ממשלתית.
מה שלא נחשף ומה שפרסמה Palo Alto
Dream בחרה לא לחשוף את זהות היצרן של חומות האש ולא את הגרסאות הפגיעות, מטעמי אבטחה, תוך שהודיעה שהיצרן עודכן. יום לאחר מכן נכנס לתמונה פרט שמשנה את התמונה עבור ארגונים בישראל: Palo Alto Networks עדכנה את ההודעה שלה וכתבה כי "נצפה ניצול פעיל שמכוון לממשק הניהול של Palo Alto Networks החשוף לאינטרנט".
חשוב להיות מדויקים בנקודה הזו. Dream לא נקבה בשם היצרן. אף גורם לא קשר רשמית בין שני הפרסומים. The Hacker News סבור שקיימת אפשרות לקשר ביניהם, על בסיס שני נימוקים: מועד פרסום ההודעה, בנוסף לכך שיצרני אבטחת רשת אחרים לא דיווחו על ניצול זדוני במוצרים שלהם. זו הערכה עיתונאית ולא קביעה. The Hacker News פנה לשתי החברות לתגובה ומסר שיעדכן את הידיעה אם תתקבל.
מה שכן קבוע הינו מה ש‑ Palo Alto עצמה אומרת על החשיפה. האמירה הזו מעשית מאוד. לדבריה אין צורך בשום תצורה מיוחדת כדי להיות חשוף לבעיה, כאשר הסיכון הגבוה ביותר מתקיים במצב שבו הגישה לממשק הניהול מותרת מכתובות חיצוניות באינטרנט. הבעיה נוגעת לממשק הניהול בלבד, כלומר לממשק הדפדפן ולשירות ה‑ XML API. לממשק הנתונים היא נוגעת רק אם מחובר אליו פרופיל ניהול. רשימת הגרסאות הפגיעות של PAN‑OS כוללת 19 רשומות, בארבעה אפיקי מהדורות.
המידע שנגנב ומה שנותר לא ידוע
מהחומרים ששוחזרו אפשר לקבוע מה כבר מצוי בידי התוקף. הפריט הכבד ביותר הינו סיסמת חשבון השירות של LDAP בטקסט גלוי, יחד עם רשימת המשתמשים והקבוצות המלאה של הדומיין. לצד אלו נמצאים מפתחות פרטיים שנאספו ממערכת הקבצים של חומת האש, מפת רשת מלאה על כל כתובת ושער VPN, תצורת ספק הזהויות SAML שבה מופיעה הגדרה שאינה מאמתת את האישור של הצד המזדהה, גישה מרוחקת מתמשכת לרשת הפנימית דרך מנהרה הפוכה ששורדת אתחול, בנוסף לשלוש דלתות אחוריות בשתי חומות אש ובשרת הניהול, שלהערכת Dream עודן פעילות.
מה שאי אפשר לקבוע הינו דווקא הדבר המדאיג יותר. התוקף ריסס סיסמאות על כל חשבונות הדומיין, ניסה ליצור חשבונות אחוריים וניסה לחלץ את מפתחות החתימה של ה‑ SAML. את התוצאות של הניסיונות האלו החוקרים לא השיגו, משום שהן נכתבו מקומית אל שרת הניהול עצמו. כלומר גם החוקרים שגילו את המבצע אינם יכולים לומר עד כמה עמוקה החדירה. זו אמירה שאינה מתורגמת ל"כנראה בסדר".
מ‑ 19,000 יעדים אל 24 פריצות
התוקף התחיל רחב. דרך FOFA, מנוע חיפוש סיני לנכסים באינטרנט, הוא מצא כ‑ 19,000 חומות אש של אותו יצרן שממשק הניהול שלהן חשוף לרשת. סורק גרסאות עם 200 תהליכונים במקביל בדק מי מהן באוויר ובאיזו גרסה. כ‑ 5,000 השיבו עם מידע גרסה. משם נותרו שני סינונים: מדינות היעד – ארצות הברית, יפן, טייוואן ודרום קוריאה – והגרסאות שעבורן היו בידיו פרופילי אקספלויט, כלומר אפיקי המהדורות החדשים שמריצים PHP 8.0.30. נותרו 240 יעדים שהוזנו למריץ אוטומטי, שתקף חמישה בכל פעם.
התוצאה הייתה 24 חומות אש שנפרצו עד הרשאת root. בכל אחת הושתל webshell במשקל 103 בתים, כלומר סקריפט זעיר ששתול במכשיר ומאפשר להריץ בו פקודות מרחוק.
כאן מופיע הפרט שראוי להתעכב עליו. ב‑ 22 מתוך 24 המכשירים התוקף לא עשה דבר מלבד השתלת הדלת האחורית. לפי Dream לא נרשמה בהם שום פעילות המשך: לא מנהרה, לא כלי תקיפה נוספים, לא תנועה פנימה. Dream מתארת אותם כמכשירים שנפרצו והוחנו בצד, זמינים לחזרה בכל רגע. במילים אחרות, 22 חומות אש נמצאות כרגע במצב של חדירה פעילה בלי שהתרחש דבר שיגרום למחזיקים בהן לחשוד.
איך נפרצה חומת האש בבקשה אחת
השרשרת מורכבת משתי חולשות נפרדות שחוברו יחד. היא מגיעה מבקשת HTTPS אחת, בלי שום אישורי התחברות.
החלק הראשון הינו PHP2Shell, צמד חולשות שמסומנות CVE‑2026‑109618 ו‑ CVE‑2026‑109619 בדירוג 9.2. הקוד הפגיע יושב במנוע ה‑ PHP עצמו ולא ביישום מסוים, כשהוא קיים שם מאז גרסה 5.4 משנת 2012. מערכת ההפעלה של חומת האש מריצה PHP בגרסה 8.0.30 עם מגבלת זיכרון גבוהה. האקספלויט מנצל מנגנון שמדווח על התקדמות העלאת קבצים, בארבעה שלבים: תחילה הצפת זיכרון בבקשות מרובות שדוחפת את מנהל הזיכרון למצב צפוי; אחר כך בקשה שמדליפה כתובת מתוך הזיכרון, שמגיעה אל התוקף בכותרת תגובה רגילה; אחר כך הפעלת עומס שנייה שמשאירה הפניה מיותמת; בשלב האחרון בקשה שמזייפת מבנה נתונים באזור שהתפנה, כך שכאשר מנגנון הניקוי של PHP עובר על המבנה הוא קורא לפונקציה שהתוקף בחר. התוצאה הינה הרצת פקודות על המכשיר.
אבל ההרצה הזו מתקבלת בהרשאות של חשבון שירות מוגבל. מכאן נדרש החלק השני. SELinux מגביל את ההקשר שבו רץ תהליך שרת הרשת ומונע ממנו לשנות קבצי מערכת, לכן שורשרה חולשה שנייה: Fragnesia, חולשת הסלמת הרשאות בליבת לינוקס שמסומנת CVE‑2026‑46300 בדירוג 7.8. היא מאפשרת שינוי של נתונים מגובים במנגנון המטמון של הקבצים. במקרה הזה שימשה לדריסת קובץ ההגדרות של פקודת ההזדהות, כך שהפקודה מקבלת כל ניסיון. מרגע זה מעבר להרשאת root נעשה בלי סיסמה. שתי החולשות רצות באותה בקשה. המסלול כולו, מחיבור HTTPS לא מאומת ועד דלת אחורית קבועה בהרשאת root, מסתיים בפחות מ‑ 15 דקות.
שני פרטים מסביב לשרשרת ראויים לתשומת לב. הראשון: Fragnesia פורסמה ותוקנה בחודש מאי 2026. אז היה לה קוד הדגמה פומבי, רוב הפצות הלינוקס החלו להוציא טלאים, בלי שום דיווח על ניצול שלה בשטח. חמישה חודשים אחר כך היא החלק שהשלים שרשרת חדירה שרמת ההכנה וההשקעה בה חורגת בהרבה מניצול הזדמנותי. CISA הכניסה אותה לרשימת החולשות המנוצלות ב‑ 28 באוקטובר עם יעד תיקון ב‑ 31 בחודש. בתיאור הרשמי שלה כתוב במפורש שהחולשה ניתנת לשרשור עם שתי חולשות ה‑ PHP כדי להשתיל webshell ולהריץ פקודות בהרשאת root. השני: ההכנה. התוקף השיג את הקושחה של היצרן, פענח אותה, חילץ ממנה את ספריות ה‑ PHP ובנה פרופילי זיכרון לתשע גרסאות תוכנה, שאחד מהם כויל מול מכונה חיה במעבדה. ההכנה הזו החלה ב‑ 8 באוקטובר, שבועיים לפני גל התקיפה.
הטלאי שאי אפשר להתקין
כאן נמצאת הנקודה המעשית ביותר באירוע, בכל הנוגע לארגון שמפעיל מכשיר קצה. גם אם תרצו לתקן את PHP על חומת האש שלכם, סביר שלא תוכלו. רכיב ה‑ PHP מהודר אל תוך הקושחה של המכשיר, כך שעדכון האבטחה שקרן PHP מפרסמת אינו מתקין את עצמו שם. הלקוח ממתין לקושחה מעודכנת מהיצרן. דוח InfraTrust של Eclypsium מצביע על כך לגבי שורה שלמה של מכשירים שממשק הניהול שלהם בנוי על PHP, מחומות אש ושערי VPN ועד בקרי אספקת יישומים והתקני אחסון ברשת. מה שנשאר בידיכם בינתיים הינו צעד אחד: לוודא שאף ממשק ניהול כזה אינו נגיש מהאינטרנט.
זה לא תרגיל תיאורטי. קרן PHP הוציאה את התיקון ב‑ 21 באוקטובר בגרסאות 8.5.12, 8.4.27, 8.3.36 ו‑ 8.2.35, אבל אצל Palo Alto חלק מקווי הגרסאות עוד נשאו מועדי אספקה משוערים ל‑ 29 וה‑ 30 באוקטובר בזמן הפרסום, כלומר למחזיקים בגרסאות האלו לא היה טלאי להתקין. במצב כזה היצרן ממליץ על צעדי ביניים: לנתב את תעבורת הניהול הנכנסת דרך ממשק נתונים, להחליף את האישור לתעבורת הניהול הנכנסת, לפענח את התעבורה הנכנסת אל ממשק הניהול כדי שחומת האש תוכל לבדוק אותה, בנוסף להפעלת מנגנוני מניעת איומים על התעבורה הזו. במקביל הדגישה החברה שהסיכון מצטמצם כאשר הגישה לממשק הניהול מוגבלת לכתובות פנימיות מהימנות בלבד, בהתאם להנחיות הפריסה המומלצות שלה. במילים אחרות, ההמלצה שהייתה מונעת את כל האירוע הזה כתובה בהנחיות הפריסה של היצרן עצמו.
שתי מתקפות, לא אחת
בזמן שנחשפה מתקפת הסייבר המיוחסת לסין, תיעדה חברת Cyfirma פעילות נפרדת לגמרי על אותן חולשות. לפי הדוח, קבוצה שמיוחסת בדרגת ביטחון בינונית לצפון קוריאה מנהלת ערוץ סגור ברשת I2P, עם שני כינויים פעילים בו מאז מרץ 2026. ב‑ 24 באוקטובר דיווחו המפעילים על 216 שרתים שנראים לא מעודכנים או מוגנים חלקית. הסריקה מתבצעת מ‑ 21 מכונות פרוצות. בזמן התיעוד הם כבר בדקו כשליש מרשימת היעדים.
הפרט החשוב כאן הינו אופן הסריקה. היא איטית בכוונה, בנפח נמוך, המכונות מתחלפות, כאשר כל מכונה שנתקלת בסינון או בהגבלת קצב נשלפת ואינה חוזרת לשימוש. המשמעות המעשית הינה שהתראה שמבוססת על קצב כנראה תישאר שקטה. זו תזכורת לא נוחה: לוח בקרה שקט אינו הוכחה שאין מי שמחפש אצלכם. לשם השוואה, Cloudflare דיווחה על עשרות אלפי ניסיונות ניצול ב‑ 45 הדקות הראשונות לאחר הפרסום, מאות אלפים בתוך שעתיים ומיליונים עד ה‑ 22 בחודש. הפעילות הרועשת והפעילות השקטה מתקיימות במקביל.
שאלת ה‑ AI
בתשתית התקיפה נמצאו פלטפורמה התקפית בשם aiscan שהוגדרה לעבוד עם המודלים הסיניים DeepSeek ו‑ Kimi, מפתחות גישה ל‑ FOFA, לצד כ‑ 40 סקריפטים שהמבנה שלהם, סגנון ההערות בהם ורמת האחידות ביניהם מעידים על פיתוח בעזרת בינה מלאכותית. The Hacker News מוסיף שנמצאה גם עדות להתקנת Claude Code של Anthropic באותה תשתית, פרט שאינו מופיע בפרסום של Dream עצמה.
כאן חשוב לדייק, כפי ש‑ Dream עצמה מדייקת. אין בידי החוקרים עדות ישירה לכך שכלי ה‑ AI הם שכתבו את האקספלויט או את סקריפטי ההמשך. להערכתם המבצע אינו נראה כמתקפה מדינתית אוטונומית לחלוטין. מכאן שסביר להניח שאדם ניהל אותו, גם אם זו קריאה שלי ולא קביעה שלהם. הבינה המלאכותית, ככל שהשתתפה, קיצרה לו את הדרך. מי שקורא "מתקפת AI" ומסיק שנדרשת הגנה מסוג חדש לגמרי, מפספס את העיקר: כל שלב בשרשרת הזו הינו שלב מוכר, שההגנות המוכרות מטפלות בו.
לגבי הזיקה הסינית, Dream אינה מייחסת את הפעילות לקבוצה מזוהה בשם, אך מונה סימנים מצטברים: בחירת היעדים, השימוש ב‑ FOFA, כלי מנהור סיני שנמצא בין הכלים, המודלים שהוגדרו בפלטפורמה, חותמות זמן בשעון סין שאומתו מול כותרות התגובה של היעדים, לצד הנחיות בסינית ביומני הפלטפורמה.
הסיכון האמיתי לארגון שלכם
חמש מסקנות, כל אחת מהן נוגעת להחלטה שבשליטתכם.
- ממשק ניהול חשוף לאינטרנט. זו אינה חולשה אלא החלטת תצורה, שהיא הדבר היחיד שהפך 19,000 מכשירים לרשימת יעדים. אף אחת מהחולשות בשרשרת לא הייתה שימושית בלי הצעד הזה. השאלה שכל ארגון צריך לענות עליה היום הינה אילו ממשקי ניהול שלו נגישים מבחוץ, בנוסף לשאלה מי החליט שכך יהיה.
- מכשיר הקצה מחזיק את המפתחות לשכבת הזהויות. שרת ניהול חומות האש נדרש לקשר אל LDAP כדי לאמת משתמשי VPN, לכן הוא שומר סיסמת חשבון שירות. הסיסמה מוצפנת בתצורה, אבל מי שהגיע להרשאת root על המכשיר מחזיק גם את מפתח ההצפנה. כך הפכה פריצה למכשיר היקפי לשליפת אישורי גישה אל הדומיין. התצורה שנשלפה מהמכשיר הראשון כללה גם את מפת הרשת הפנימית כולה: בקרי דומיין, שרת הזדהות מרכזי, מערכת ניהול קוד ושערי VPN.
- הטלאי שדורג כלא דחוף. Fragnesia תוקנה במאי, בלי ניצול מוכח בשטח, בדיוק סוג העדכון שנדחק בסדר העדיפויות. "אין עדות לניצול" הינה אמירה על ההווה ולא דירוג סיכון. הנתונים על קצב התיקון בתעשייה אינם מעודדים: לפי דוח Verizon לשנת 2026 חולף חציון של 43 ימים עד תיקון חולשה שידוע שמנוצלת, בעוד שלפי Qualys ממוצע התיקון הינו 21.2 ימים כאשר 63 אחוזים מהחולשות הקריטיות עדיין פתוחות אחרי שבוע. לשם השוואה, CISA נתנה לגופים הפדרליים שלושה ימים בלבד על כל אחת מהחולשות האלו.
- הגדרה אחת שפתחה את הדלת לרווחה. בדומיין שנתקף לא הייתה כלל נעילת חשבון, לכן ריסוס הסיסמאות על כל המשתמשים יכול היה לרוץ בלי הגבלה. שום דבר לא היה צריך להיפרץ כדי שזה יהיה נכון. זו הגדרה שיושבת בדומיין שלכם ברגע זה, בין אם בדקתם אותה ובין אם לא.
- היעדר נזק אינו היעדר חדירה. המחזיקים ב‑ 22 חומות האש שהוחנו בצד אינם חווים תקלה, אינם מקבלים דרישת כופר ואינם רואים דבר חריג. הדלת האחורית שהושתלה אצלם שוקלת 103 בתים, בזמן שהקבוצה השנייה שסורקת את אותן חולשות עושה זאת בקצב שנועד לא להדליק התראה. ארגון שמסתמך על הופעת סימפטום כדי לדעת שנפרץ, לא ידע.
010 אבטחת מידע
האירוע הזה מצביע על חמישה שירותים, כאשר מיפוי כזה חייב להיות כנה גם לגבי מה שאינו רלוונטי כאן.
- סקר סיכונים הינו הכלי המרכזי במקרה הזה, משתי סיבות. האחת הינה מצאי החשיפה: אילו ממשקי ניהול נגישים מהאינטרנט, באיזה מכשיר יושבים אישורי גישה אל שכבת הזהויות. השנייה הינה ממצאי התצורה שאינם חולשות כלל, כמו היעדר נעילת חשבון בדומיין או הרשאת יצירת חשבונות מכונה כברירת מחדל. אלו בדיוק הממצאים שסקר מסודר מעלה, בעוד שהם אינם מופיעים בשום דוח סריקת חולשות.
- עדכוני תוכנה ואבטחה נוגעים כאן לשתי נקודות שהאירוע חידד. האחת הינה הטיפול בטלאי שנראה לא דחוף, כמו תיקון ליבת לינוקס ממאי, שתהליך מנוהל מדרג, משייך לאחראי וקובע לו תאריך יעד במקום להשאיר אותו פתוח. השנייה הינה שחומות אש ומכשירי קצה הם תוכנה לכל דבר, כאשר רכיב כמו PHP מהודר לתוך הקושחה שלהם, כך שאי אפשר לתקן אותו ישירות. תהליך עדכון שמכסה שרתים ותחנות ואינו עוקב אחרי קושחת מכשירי קצה, משאיר בדיוק את הפתח שנוצל כאן. בתקופה שבין גילוי לטלאי, מה שנותר הינו צעדי הביניים וצמצום החשיפה.
- SIEM/SOC הינו השירות שבו טמון ההבדל בין האירוע הזה לאירוע שנעצר בתחילתו. השרשרת הזו משאירה סימנים רועשים: תעבורת אקספלויט בנפח מאות מגה‑בתים נגד ממשק ניהול, חומת אש שקרסה ולא חזרה, 240 בדיקות אוטומטיות נגדה לאורך שעתיים, שירות מערכת חדש שנרשם במכשיר, מנהרה יוצאת אל כתובת חיצונית, מניית משתמשים וקבוצות בהיקף מלא, בנוסף לריסוס סיסמאות נגד כל חשבונות הדומיין. כל אחד מאלו הינו אירוע שניתן לזהות. הבעיה המעשית הינה שמכשירי קצה נמצאים פעמים רבות מחוץ לתחום איסוף הלוגים של הארגון, בדיוק המקום שבו התחילה החדירה.
- מודיעין סייבר רלוונטי כאן באופן ישיר ומיידי. כשידוע שממשקי הניהול של יצרן מסוים נסרקים בהיקף של 19,000 מכשירים, שקיימות 22 חומות אש שנפרצו וממתינות, שקבוצה נוספת מחזיקה רשימה של 216 שרתים שנראים לא מעודכנים, המידע הזה משנה את סדר העדיפויות של ארגון עוד היום. הוא גם מכריע מתי צעד ביניים עדיף על המתנה לטלאי.
- גיבוי והמשכיות עסקית נכנסים לתמונה דרך פרט שקל לפספס: חומת האש הראשונה קרסה בעקבות התקיפה ולא חזרה לפעולה. מעבר לשאלת החדירה, זהו אירוע זמינות שנגרם מניצול חולשה, המחייב תשובה מתורגלת לשאלה כיצד הארגון ממשיך לעבוד כשמכשיר היקפי יוצא מכלל פעולה.
לסיום, מה שאינו הסיפור כאן. באירוע הזה אין דיוג, אין טעות של משתמש, אין נוזקה שהגיעה בדוא"ל ואין כופרה. לכן מודעות עובדים לסייבר, סינון דוא"ל והגנה אקטיבית מכופרה אינם המענה לאירוע הזה. לא יהיה נכון למפות אותם אליו. מניעת דלף מידע שייכת לשאלה אחרת: מה שיצא כאן היה תצורה, אישורי גישה ורשימות ספרייה מתוך מכשיר תקשורת, לא מסמכים מתוך שרת קבצים.
שורה תחתונה
חומת האש לא הייתה המטרה. היא הייתה ארון המפתחות. התוקף נכנס דרך ממשק ניהול שלא היה אמור להיות חשוף, עלה להרשאת root בעזרת טלאי שאיש לא מיהר להתקין, תוך פחות משעה וחצי הגיע מהמכשיר ההיקפי אל השרת שמנהל את כולם ומשם אל שכבת הזהויות. שלוש ההחלטות שהכריעו כאן אינן חולשות באף מוצר: מה חשוף לאינטרנט, מה מוגדר בדומיין, מה נאסף ללוגים. את שלושתן אפשר לבדוק כבר היום.
למקור הידיעה ולקריאה נוספת לחצו כאן
