עדכון אבטחה · 12 בנובמבר 2026
ההודעה של Cloudflare מ־11 בנובמבר מוסיפה השלכה תפעולית לדליפת אסימון שירות של Access: סריקת הסודות של GitHub מדווחת על סודות שנמצאו במאגרים ציבוריים, ו־Access משביתה את האסימון שנפגע. כדאי להכין נוהל התאוששות לפני שמשימה התלויה בו מאבדת את יכולת ההזדהות.
מה השתנה
השילוב מעביר ל־Cloudflare דיווח על הדליפה ומפעיל התראה בדוא״ל. נמעני ברירת המחדל המתועדים הם מנהלי־העל של החשבון ויוצר האסימון, כאשר כתובת הדוא״ל שלו זמינה. ההודעה אינה מבטיחה זיהוי של כל פרטי הזדהות שנחשפו בכל מקום.
סדר ההתאוששות חשוב
- מחליפים את הסוד שדלף. הסוד הישן מבוטל מיד, ללא תקופת חפיפה.
- מעדכנים את השירותים התלויים בו. מזהה הלקוח, Client ID, נשאר ללא שינוי.
- מפעילים מחדש את האסימון במפורש. החלפת הסוד לבדה אינה מפעילה אסימון מושבת.
יש להסיר את הסוד שנחשף גם מהמקום שבו פורסם, אך הסרה אינה מחליפה את החלפתו: ייתכן שכבר הועתק. החלפת הסוד מנקה את נתוני הדליפה מהאסימון; היסטוריית הביקורת נמצאת ביומני פעילות המנהלים.
מכינים גם את השירות להתאוששות
ההמלצה שלנו היא למפות לכל אסימון בעלים, מאגר סודות ומשימות המשתמשות בו. כדאי לכלול משימות מתוזמנות ומופעי פריסה ישנים, ולא רק את השירות שמקבל תעבורה כרגע.
- מתרגלים החלפת סוד עם פרטי הזדהות ייעודיים לסביבת בדיקה. אין לפרסם בכוונה סוד פעיל כדי לבדוק את מנגנון הזיהוי.
- מגדירים כיצד לזהות כשלי הזדהות ולעצור ניסיונות חוזרים בלתי מוגבלים בזמן ההתאוששות.
- לאחר ההתאוששות מאמתים בקשה תקינה ומייצגת מכל שירות צרכן, ובודקים ביומנים שימוש חריג בחלון החשיפה.
מפרשים תוצאות סריקה בזהירות
הפורמט cfast_, שהוצג ב־26 באוגוסט 2026, מסייע לכלי זיהוי. התאמה לתבנית לבדה אינה מוכיחה שסכום הביקורת תקין או שהסוד פעיל. סודות הקסדצימליים ישנים משתמשים בפורמט אחר.
זהו עדכון המבוסס על תיעוד ורשימת בדיקות תפעולית מוצעת. לא יזמנו דיווח על דליפה ולא בדקנו התאוששות בחשבון ייצור.
מקורות: הודעת Cloudflare מ־11 בנובמבר; תיעוד ההתאוששות וההתראות של אסימוני שירות.