CISA פרסמה ב-6 באוקטובר 2025 ייעוץ אבטחה על פגיעויות גישה לא מאומתת ל-servlet במערכת Hitachi Energy Asset Suite גרסה 9.9.0 ומעלה. הפגיעויות מסווגות כ-ICS advisory עם ציון CVSS של 8.1, ויכולות להשפיע על סודיות, שלמות וזמינות של המוצר. המערכות מושפעות בעיקר בתחום האנרגיה, עם פריסה עולמית.
מה קרה במדויק
Hitachi Energy אישרה שמערכת Asset Suite, המשמשת לניהול נכסים תעשייתיים, חשופה לגישה לא מאומתת דרך servlet. זה אומר שתוקף יכול לגשת לפונקציונליות מסוימת במערכת ללא צורך באימות זהות. הפגיעות משפיעה על גרסאות 9.9.0 ומעלה, והיא מסווגת כבעיה במערכות בקרה תעשייתיות.
ציון ה-CVSS של 8.1 מציב את הפגיעות בקטגוריית חומרה גבוהה. ההשפעה האפשרית כוללת פגיעה בסודיות המידע, שינוי נתונים, והפרעה לזמינות המערכת. מדובר במערכות שפרוסות בעיקר בתחום האנרגיה ברחבי העולם.
למה זה חשוב מעבר לכותרת
פגיעות גישה לא מאומתת היא בדיוק סוג הבעיה שקל להחמיץ בפיתוח. המערכת עובדת, הבדיקות עוברות, והפונקציונליות תקינה. הבעיה היא שנקודת קצה שנועדה לשימוש פנימי או מאומת נשארת חשופה.
במערכות שבונים תחת תקני אבטחה בנקאיים או רגולטוריים, כל servlet, API endpoint או פונקציה חשופה צריכה לעבור בדיקת אימות מפורשת. זה לא מספיק שהמערכת “בדרך כלל” דורשת התחברות. כל נקודת גישה צריכה לאכוף אימות בצורה מפורשת, גם אם היא נראית פנימית.
העובדה שזה קורה במערכת של Hitachi Energy, חברה גדולה עם צוותי אבטחה, מדגימה שזה לא נושא של חוסר ידע אלא של תהליכי בדיקה. מערכות תעשייתיות ותשתיות קריטיות דורשות סקר אבטחה ממוקד, לא רק בדיקות פונקציונליות.
מה לעשות בשבוע הזה
אם אתם בונים מערכת שמתחברת לתשתיות תעשייתיות, רפואיות או פיננסיות, הקדישו שעה לסקירת נקודות קצה. עברו על כל servlet, controller או API route ובדקו שיש בדיקת אימות מפורשת בכניסה לפונקציה, לא רק ברמת הנתוב.
במערכות בנקאיות, רגולטורים מצפים לראות שכל נקודת גישה עברה בדיקת אבטחה מתועדת. זה לא מספיק להסתמך על middleware כללי. כל פונקציה שמטפלת במידע רגיש צריכה לאכוף הרשאות בצורה מפורשת.
אם אתם עובדים עם ספק חיצוני, שאלו איך הם בודקים גישה לא מאומתת בסקר האבטחה שלהם. זו שאלה לגיטימית שכל ספק רציני יודע לענות עליה. למידע נוסף על בניית מערכות תחת תקני אבטחה, ראו מערכות AI מותאמות לארגונים.
מקורות
- Hitachi Energy Asset Suite · CISA
שאלות נפוצות
איך בודקים אם יש פגיעות גישה לא מאומתת במערכת קיימת?
מריצים סקר אבטחה אוטומטי שבודק כל נקודת קצה ללא אימות, ועוברים ידנית על כל servlet או API route כדי לוודא שיש בדיקת הרשאות מפורשת בכניסה לפונקציה. בדיקות פונקציונליות רגילות לא תופסות את זה כי הן מריצות את המערכת עם משתמש מחובר.
מה ההבדל בין פגיעות גישה לא מאומתת לבין פגיעות הרשאות?
גישה לא מאומתת אומרת שאפשר להגיע לפונקציה בלי להתחבר בכלל. פגיעות הרשאות אומרת שמשתמש מחובר יכול לעשות דברים שהוא לא אמור. השניה מסוכנת, הראשונה קריטית כי היא חושפת את המערכת לכל אחד.