חומת האש היא הקופסה שאמורה לעצור את הפורצים בכניסה לרשת של הארגון. בין 30 באוקטובר ל-4 בנובמבר 2026 היא הייתה דווקא הדלת שדרכה נכנסו. צ'ק פוינט אישרה ב-12 בנובמבר שתוקפים השתלטו על כמה עשרות שערי אבטחה שלה שלא עודכנו, ובחלק מהארגונים הם המשיכו משם לשרתים ומחקו את כל הקבצים שעליהם.
הגל הראשון פגע בארגונים בישראל. התוקפים עברו מהשער לשרתי VMware ESXi, המכונות שמריצות את השרתים הווירטואליים של הארגון, הפעילו עליהם תוכנה שמוחקת כל קובץ בלי קשר לסוגו, והשאירו קובץ טקסט בשם DREAM_ANNEXATION.txt עם מסר פוליטי. גל שני, שהתחיל ב-2 בנובמבר, הגיע לארגונים בכמה מדינות, ולפי החוקרים בלי מחיקה. בשני הגלים הותקנה גם דלת אחורית, תוכנה שמשאירה לתוקף גישה גם אחרי שהבעיה נראית סגורה.
אותה פרצה מאוקטובר
הדרך פנימה התחילה ב-PHP2Shell, הפרצה ב-PHP שתוקנה ב-21 באוקטובר. התוקפים חיברו אותה לפרצה חדשה במערכת ההפעלה של השערים, Gaia, שקיבלה את המספר CVE-2026-123039. השילוב נתן להם הרשאות מלאות על המכשיר. רשות הסייבר האמריקאית הוסיפה את הפרצה ב-13 בנובמבר לרשימת הפרצות שמנוצלות בפועל, ונתנה לגופי ממשל עד 16 בנובמבר לסגור אותה.
צ'ק פוינט ממליצה להתקין את עדכון הנובמבר המרוכז של השערים (Jumbo Hotfix). העדכון סוגר את הפרצה, אבל לא מוציא תוקף שכבר נכנס. ארגון שהשער שלו לא היה מעודכן בתחילת נובמבר צריך לבדוק גם אם נוצרו בו משתמשים חדשים או חיבורים שאף אחד לא מכיר.
מייל "התקלה" שמבקש סיסמה
בזמן שמיקרוסופט 365 חזרה לעבוד אחרי התקלה של סוף השבוע, צוות המודיעין של מיקרוסופט התריע על מיילים מזויפים שמתחזים להודעות מצב השירות. הם מצטטים את מספר התקלה האמיתי, EX1550543, וטוענים שמיילים שנתקעו יימחקו בתוך 24 שעות אם לא לוחצים על הקישור. שורת הנושא בנויה כמו Outage ואחריה קוד של שש אותיות.
הקישור מוביל לדף שמבקש להתחבר מחדש לחשבון. מיקרוסופט אומרת שעוד לא ראתה גניבת סיסמאות מוצלחת, ומזכירה שהיא לא פונה ללקוחות ביוזמתה עם הצעות תמיכה. מי שקיבל מייל כזה יכול לבדוק את מצב השירות במרכז הניהול של 365, בלי ללחוץ על שום דבר במייל.
שלוש שעות עד הרשאות מנהל
ה-FBI פרסם ב-13 בנובמבר אזהרה על ARTEX, כלי בינה מלאכותית שנבנה לבדיקות חדירה מורשות ועכשיו משמש פושעים. לפי האזהרה, הכלי מבצע לבד את רוב שלבי התקיפה, מבחירת המטרה ועד הוצאת המידע, ובחלק מהמקרים הגיע מהמגע הראשון להרשאות מנהל בפחות משלוש שעות. המפתח הוריד את הקוד באוקטובר, אבל עותקים ממשיכים להסתובב, וחוקרים ספרו בתחילת נובמבר יותר מ-1,600 שרתים שמפעילים אותו ונגישים מהאינטרנט.
לעסק שאין לו צוות אבטחה, המשמעות היא שהזמן בין פרסום פרצה לניצול שלה מתקצר. עדכון של חומת האש, של הנתב או של מערכת הניהול מרחוק שהטכנאי משתמש בה כבר לא יכול לחכות לסוף החודש.