- מיקרוסופט מתקנת 161 פגיעויות ב-Patch Tuesday הראשון של 2025, כולל שלושה ימי אפס בניצול פעיל.
- כשלים קריטיים קשורים למערכת Windows Hyper-V ועשוי לאפשר הסלמה של הרשאות.
- CISA דורשת לפרוס את התיקונים עד ה-4 בפברואר כדי להפחית סיכונים נוספים.
- בנוסף, נקודות תורפה במוצרים כגון אדג מיקרוסופט, המדגיש את ההשקה הזו כגדולה ביותר מאז 2017.
עם תחילת שנת 2025, מיקרוסופט הציגה את התיקון הראשון שלה במחזור העדכונים השנתי. אירוע זה, שכבר ידוע כמפתח בניהול אבטחת סייבר, הוכיח שוב את החשיבות של להישאר מעודכן בתיקונים האחרונים. מיקרוסופט התייחסה בסך הכל ל 161 נקודות תורפה קיימים במספר מוצרים, חלקם מסווגים כקריטיים בשל השפעתם הפוטנציאלית.
מהדורה זו בולטת בכך שהיא כוללת את הפתרון לשלוש נקודות תורפה של יום אפס שכבר נוצלו באופן פעיל.. פגמים אלו, הרשומים כ-CVE-2025-21333, CVE-2025-21334 ו-CVE-2025-21335, זכו לציון חומרה של 7.8 בסולם CVSS, מה שמציב אותם בין הקריטיים ביותר בסדרת עדכונים זו. לפי מיקרוסופט, פערים אלו משפיעים על ליבת האינטגרציה של NT של מערכת Windows Hyper-V, מה שעלול לאפשר לתוקף להסלים הרשאות ולקבל גישה מלאה למערכות המושפעות.
חומרת הפגיעות של יום אפס
פגיעויות של יום אפס מייצגות איום מתמיד בעולם של אבטחה cybersecurity, במיוחד כאשר כבר החלו לנצל אותם באופן פעיל. במקרה זה, מיקרוסופט לא סיפקה פרטים ספציפיים על התוקפים האחראים או על הקורבנות המושפעים, אם כי היא הדגישה כי הפגמים הללו משמשים בעיקר בשלב הסלמה של הרשאות במסגרת מתקפה רחבה יותר. זה מצביע על כך שבמקרים רבים, מערכות היעד כבר היו נפגעות באמצעות שיטות קודמות אחרות.
גם הסוכנות לאבטחת סייבר ותשתיות (CISA) נקטה בפעולה בנושא, הוספת פגיעויות אלו לקטלוג של פגיעויות ידועות מנוצלות (KEV). מהלך זה מבקש להתריע הן לסוכנויות הממשלתיות והן למשתמשי הקצה על הצורך הדחוף ביישום העדכונים הללו. המועד האחרון שנקבע על ידי CISA ליישום התיקונים בארגונים פדרליים הוא ה-4 בפברואר הבא.
השקה חסרת תקדים מאז 2017
בנוסף לשלוש נקודות התורפה של יום האפס, מיקרוסופט תיקנה גם 11 פגמים נוספים המסווגים כקריטיים. אלה כוללים בעיות הקשורות לביצוע קוד מרחוק וגישה לא מורשית שיכלו לשמש כדי לסכן נתונים רגישים או לשבש פעולות קריטיות במערכות ארגוניות.
שאר הפגיעות, בסך הכל 149, סווגו כחשובות. למרות שהם לא באותה חומרה כמו הקודמים, כשלים אלה עדיין מהווים סיכון לא מבוטל אם לא מטופלים בצורה נכונה. על פי יוזמת Zero Day, סוכן בעל שם בתחום אבטחת הסייבר, יום שלישי התיקון הראשון של 2025 מציין את אירוע העדכון הגדול ביותר של מיקרוסופט מאז 2017.
מצד שני, בעדכון נפרד תוקנו גם שבע פרצות בדפדפן Microsoft Edge.. אין לזלזל בפגמים אלו, למרות שהם קטנים בהשוואה, מכיוון שהם משפיעים על מיליוני משתמשים המשתמשים בדפדפן זה על בסיס יומי.
חשיבות הטמעת עדכונים
ארגונים ומשתמשים בודדים נקראים לפעול במהירות כדי להבטיח שהמערכות יישארו מוגנות מפני איומים פוטנציאליים. עדכונים זמינים כעת להורדה דרך ערוצי Microsoft הרגילים, כולל Windows Update ומערכות ניהול מרכזיות.
בסביבה טכנולוגית המתפתחת במהירות, פרצות תוכנה הפכו למטרה נפוצה עבור פושעי סייבר. לכן, תיקוני אבטחה כמו אלה המופצים ב-Patch Tuesday ממלאים תפקיד מהותי בשמירה על שלמות המערכות, הימנעות מהפרעות תפעוליות, אובדן נתונים או נזק למוניטין.
יום שלישי התיקון הראשון של 2025 לא רק מסמן אבן דרך מבחינת מספר התיקונים, אך גם מדגיש את המחויבות של מיקרוסופט להישאר בחזית במאבק נגד איומי סייבר.
כותב נלהב על עולם הבתים והטכנולוגיה בכלל. אני אוהב לחלוק את הידע שלי באמצעות כתיבה, וזה מה שאעשה בבלוג הזה, אראה לכם את כל הדברים הכי מעניינים על גאדג'טים, תוכנה, חומרה, טרנדים טכנולוגיים ועוד. המטרה שלי היא לעזור לך לנווט בעולם הדיגיטלי בצורה פשוטה ומשעשעת.