מתודולוגיה — ראדאר חשיפת הסייבר
מאיפה מגיע כל מספר בדף, מה בו עובדה ומה הערכה, ומה נבדק ונפסל
01 השאלה שהדף עונה עליה
השאלה היא "האם משהו שמנוצל עכשיו בשטח נוגע לעסק בישראל, היום?" — ולא "מה קרה השבוע בעולם הסייבר".
ההבחנה הזו היא כל הדף. פיד גולמי של CISA KEV הוא חסר ערך לקורא ישראלי:
הוא כולל אלפי רשומות, רובן על מוצרים שאיש כאן לא מריץ, ממוינות לפי כלום,
באנגלית, ומכוונות לגופי ממשל פדרליים בארה"ב. הערך כולו נמצא בסינון — ולכן
הסינון הוא קובץ נפרד וקריא, israel_map.py, ולא טבלה קבורה בתוך
הקוד. מה שמופיע בסעיף 05 הוא בדיוק אותו קובץ, כדי שאפשר יהיה לחלוק עליו.
מה הדף לא עושה. הוא לא סורק אתכם, לא יודע מה מותקן אצלכם, ולא יכול להגיד לכם שאתם בסדר. רשימה ריקה אינה תעודת ביטוח: הקטלוג מכיל רק את מה שCISA כבר אישרה שמנוצל, ופרצה שטרם נכנסה אליו מסוכנת בדיוק כמו זו שכן.
02 המקורות, ומה אומת בפועל
שני מקורות, שניהם ציבוריים וללא מפתח. שניהם נבדקו בבקשה אמיתית לפני שנכתבה שורת קוד אחת שמסתמכת עליהם.
CISA KEV — Known Exploited Vulnerabilities Catalog.
https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
נבדק ב-18.8.2026: החזיר HTTP 200, סוג
application/json, 1.58MB, גרסת קטלוג
2026.08.18, 1,670 רשומות. ללא הרשמה וללא מפתח.
זהו הקטלוג הרשמי של פרצות שCISA אישרה שמנוצלות בפועל בתקיפות — לא
רשימת פרצות תיאורטיות.
EPSS — Exploit Prediction Scoring System, FIRST.org.
https://api.first.org/data/v1/epss
נבדק ב-18.8.2026: ללא מפתח, מקבל אצווה של CVE-ים מופרדים בפסיק, והחזיר
43 ציונים מתוך 43 שנתבקשו בקריאה אחת. הציון הוא הערכה מפורסמת לסיכוי
שפרצה מסוימת תנוצל ב-30 הימים הקרובים.
שני המקורות נספרים בשורת "מקורות" בתחתית הדף. אם אחד מהם לא נקרא, הדף אומר זאת במפורש — ראו סעיף 07.
03 שלוש רמות ודאות שאסור לערבב
לכל רשומה מחושבות שלוש תכונות, והן אינן באותה רמת ודאות. הדף מציג אותן בנפרד בכוונה, כי טשטוש ביניהן הוא הדרך הקלה ביותר להישמע בטוח יותר מכפי שהנתונים מצדיקים.
1 · עובדה. מה שכתוב בקטלוג עצמו: מספר ה-CVE, שם היצרן והמוצר, התאריך שבו CISA הוסיפה אותה, תאריך היעד שקבעה, והאם היא מסמנת שהפרצה שימשה בקמפיין כופרה. בתוספת ציון EPSS. כל אלה ניתנים לבדיקה מול המקור בקליק.
2 · מבנית. האם סוג המוצר יושב על גבול הרשת — חומת אש, שער VPN, שרת דואר, אתר אינטרנט, כלי ניהול מרחוק. זו תכונה של המוצר, לא של ישראל, והיא ההבדל בין "לעדכן החודש" ל"לעדכן הלילה": לרכיב היקפי תוקף מחו"ל מגיע ישירות, בלי שאף אחד בארגון ילחץ על משהו.
3 · הערכה — וזו באמת רק הערכה. כמה המוצר נפוץ בארגונים בישראל. אין מקור חופשי שסופר את זה. Shodan ו-Censys חוסמים את נתוני המדינה מאחורי מפתח בתשלום, ואף גוף ישראלי לא מפרסם מאגר כזה. לכן הדירוג הזה הוא שיפוט מקצועי של יועץ אחד על השוק הישראלי — עם נימוק כתוב לכל יצרן, כדי שיהיה אפשר לחלוק עליו לגופו. כל מקום בדף שמציג את זה כמדידה הוא באג.
04 איך נקבעה הרמה 0–3
הרמה היא ספירה אחת ויחידה: כמה מוצרים היקפיים שנפוצים בישראל נוספו לקטלוג ב-7 הימים האחרונים, חסום ב-3.
למה ספירה ולא ציון משוקלל
הגרסה הראשונה של הדף הזה השתמשה בחמישה טריפ-ווייר, בדיוק כמו ראדאר ההסלמה: רכיב היקפי חדש, כופרה, יצרן ישראלי, EPSS גבוה, ותאריך יעד שחלף. המדידה על הקטלוג האמיתי הרגה את המודל הזה. בהרצה הראשונה נדלקו ארבעה מתוך חמישה, ושניים מהם — "תאריך היעד חלף" ו-"EPSS מעל 50%" — דולקים כמעט תמיד: CISA נותנת 3–14 יום לתיקון, ורשומה בקטלוג היא מעצם הגדרתה פרצה שכבר מנצלים אותה. טריפ-וויר שדולק תמיד אינו אינדיקטור אלא קישוט, ורמה שתקועה על 3 לנצח אינה אומרת לקורא כלום.
ארבעת האותות האלה לא נמחקו — הם הועברו לשורות ההקשר מתחת למחוון, ומוצהר עליהם במפורש שהם אינם חלק מהרמה.
הכיול, על נתונים אמיתיים
הספים לא נקבעו בניחוש. הם נקבעו אחרי מדידה של 52 השבועות שקדמו ל-18.8.2026 על הקטלוג האמיתי (1,670 רשומות), דרך אותו מיפוי שרץ בייצור:
חציון: רשומה אחת לשבוע · ממוצע 1.15 · מקסימום 5
22 מתוך 52 שבועות ברמה 0 · 14 ברמה 1 · 6 ברמה 2 · 10 ברמה 3 ומעלה.
כלומר רמה 0 היא המצב השכיח ביותר — 22 מתוך 52 השבועות, אך לא רוב: בשבוע החציוני נוסף פריט אחד. רמה 3 היא ה-19% מהשבועות שבהם באמת קרה משהו. זו סקאלה שזזה — וזו הייתה הדרישה.
המספרים האלה נמדדו מחדש ב-18.8.2026 ושונים ממה שפורסם כאן
קודם (חציון 0 · ממוצע 0.87 · 30/10/3/9). שתי סיבות, ושתיהן תיקוני אמת ולא
כיול מחדש: חלון הספירה בקוד היה age <= 7, שהוא שבעה ימים
ועוד אחד, בעוד שהעמוד הבטיח שבעה — עכשיו שניהם שבעה; ומסווג המוצרים תוקן
באותו יום (צורות רבים שנבלעו, התנגשות בין Exchange לבין
Key Exchange, התאמת-יתר ברמת היצרן ב-Citrix, וכמה
מוצרים היקפיים נפוצים שחסרו). שני התיקונים מזיזים רשומות אל תוך הספירה
ומחוצה לה, ולכן זו אינה אותה מדידה שרצה שוב — זו המדידה הנכונה.
למה רק רכיבים היקפיים נספרים
פרצה בתחנת עבודה חשובה גם היא, אבל היא דורשת שמישהו בארגון יפתח קובץ או ילחץ על קישור. רכיב היקפי לא דורש כלום: הוא חשוף לאינטרנט, והוא נסרק אוטומטית תוך שעות מרגע הפרסום. ההבדל הזה הוא ההבדל בין דחיפות של חודש לדחיפות של לילה, ולכן הוא — ולא חומרת ה-CVE — מה שקובע את הרמה.
05 רשימת היצרנים, עם הנימוקים
זו ההערכה מסעיף 03, כתובה במלואה. היא מוצגת כאן לא כדי להיראות יסודי אלא כדי שאפשר יהיה להתווכח איתה: אם לדעתכם יצרן חסר, או שדירוג שגוי, זה בדיוק המקום להצביע עליו.
איך לקרוא את הטבלה. A = תמצאו אותו בחלק גדול מהארגונים בישראל. B = נפוץ, אבל רחוק מלהיות אוניברסלי. ההתאמה נעשית לפי מחרוזת בשם היצרן שCISA עצמה מפרסמת.
| יצרן (מפתח ההתאמה במיפוי, לא בהכרח שם CISA הרשמי) | רמה | הנימוק |
|---|---|---|
| adobe | A | Acrobat/Reader מותקנים כמעט בכל תחנה; ColdFusion עדיין רץ באתרים ותיקים. |
| apache | A | רוב שרתי הווב, כולל אתרים ישראליים רבים. |
| apple | A | iPhone ו-macOS בשימוש רחב מאוד בישראל, כולל כמכשירי עבודה. |
| check point | A | יצרן ישראלי עם חדירה גבוהה במיוחד בארגונים הגדולים ובמגזר הציבורי בישראל. 🇮🇱 צ'ק פוינט — תל אביב |
| cisco | A | תשתית רשת, VPN וטלפוניה בכמעט כל ארגון בינוני ומעלה. |
| citrix | A | NetScaler וגישה מרחוק — נפוץ בבריאות, בפיננסים ובממשלה. |
| fortinet | A | FortiGate היא אחת מחומות האש הנפוצות ביותר בשוק העסקים הקטנים והבינוניים בישראל. |
| A | Chrome הוא הדפדפן הנפוץ ביותר בישראל, גם בארגונים. | |
| ivanti | A | שערי גישה מרחוק וניהול מכשירים; יעד חוזר ונשנה של תקיפות בעולם ובישראל. |
| linux | A | רוב השרתים בישראל, כולל אצל ספקי האחסון המקומיים. |
| microsoft | A | כמעט כל ארגון בישראל מריץ Windows, Microsoft 365 או שניהם. |
| oracle | A | מסדי נתונים ו-ERP בארגונים גדולים ובמגזר הציבורי. |
| palo alto | A | נפוץ בארגונים גדולים, בפיננסים ובתעשייה הביטחונית. |
| sonicwall | A | חומות אש ו-SSL VPN נפוצים מאוד בעסקים קטנים ובינוניים בישראל. |
| synacor | A | המוצר הוא Zimbra — שרת דואר שנפוץ בישראל במוסדות אקדמיים, ברשויות מקומיות ובעסקים שלא עברו ל-Exchange. |
| vmware | A | vSphere/ESXi הם בסיס הווירטואליזציה ברוב חוות השרתים המקומיות בישראל. |
| wordpress | A | הפלטפורמה שעליה יושבים רוב אתרי העסקים הקטנים בישראל. |
| arista | B | ציוד רשת ו-SD-WAN בארגונים גדולים. |
| atlassian | B | Jira ו-Confluence הם ברירת המחדל כמעט בכל חברת הייטק ישראלית. |
| connectwise | B | כלי ניהול מרחוק של ספקי IT מנוהל (MSP) — פגיעה בו פוגעת בכל לקוחות הספק בבת אחת. |
| d-link | B | ציוד רשת ביתי ומשרדי זול, נפוץ ולרוב לא מתוחזק. |
| draytek | B | נתבי Vigor — נפוצים אצל ספקי IT קטנים ובעסקים קטנים בישראל, ולרוב לא מתוחזקים. |
| drupal | B | מערכת ניהול תוכן בשימוש באתרי מוסדות וארגונים. |
| elastic | B | Elasticsearch/Kibana — לוגים וניטור בהייטק הישראלי. |
| gitlab | B | ניהול קוד בחברות פיתוח. |
| grafana | B | ניטור ולוחות מחוונים בהייטק. |
| ibm | B | תשתיות ארגוניות ומערכות ליבה בבנקאות ובביטוח. |
| jetbrains | B | TeamCity ו-IDE של JetBrains נפוצים מאוד בפיתוח הישראלי. |
| joomla | B | מערכת ניהול תוכן ותיקה שעדיין מריצה אתרים ישראליים. |
| mikrotik | B | נתבי RouterOS זולים וחזקים — נפוצים אצל ספקי אינטרנט קטנים ואצל משתמשים טכניים בישראל, ולרוב לא מתוחזקים. |
| mongodb | B | מסד נתונים נפוץ בפיתוח מוצרים. |
| n-able | B | כלי ניהול מרחוק של ספקי IT מנוהל (MSP) — פגיעה בו פוגעת בכל לקוחות הספק בבת אחת. |
| nakivo | B | גיבוי בעסקים בינוניים. |
| netgear | B | ציוד רשת משרדי קטן. |
| progress | B | MOVEit, WhatsUp ו-LoadMaster בשימוש אצל ספקי IT ובארגונים בינוניים. |
| qnap | B | NAS משרדי — נפוץ מאוד בעסקים קטנים בישראל. |
| redis | B | מסד נתונים בזיכרון, נפוץ מאוד בשרתי אפליקציה. |
| roundcube | B | ממשק Webmail שספקי אחסון ישראליים מספקים ללקוחותיהם. |
| sap | B | ERP בתעשייה ובחברות הגדולות. |
| simplehelp | B | כלי תמיכה מרחוק שספקי IT ישראליים משתמשים בו. |
| solarwinds | B | ניטור רשת בארגונים בינוניים וגדולים. |
| synology | B | NAS משרדי — נפוץ מאוד בעסקים קטנים בישראל. |
| tp-link | B | ציוד רשת ביתי ומשרדי זול, נפוץ ולרוב לא מתוחזק. |
| trend micro | B | אנטי-וירוס ארגוני בשימוש בישראל. |
| veeam | B | גיבוי — היעד הראשון של קבוצות כופרה, כי בלי גיבוי אין התאוששות. |
| zoho | B | ManageEngine נפוץ במחלקות IT קטנות. |
| zyxel | B | נתבים וחומות אש זולים בעסקים קטנים ובבתים. |
הרשימה כוללת 47 יצרנים. יצרן שאינו ברשימה פשוט לא נכנס לדירוג — זה לא אומר שהמוצר שלו בטוח, אלא שלא נטענת עליו טענה.
יצרנים שמטה החברה שלהם בישראל — זו עובדה, לא הערכה
הרשימה הזו נפרדת בכוונה מהטבלה שמעליה: היא ניתנת לאימות מול אתר החברה בדקה. היא נשמרת קצרה בכוונה, כי שם שמתנגש עם חברה זרה שווה יותר נזק מתועלת — ראו סעיף 06.
- allot — אלוט — הוד השרון
- amdocs — אמדוקס — רעננה
- cellebrite — סלברייט — פתח תקווה
- check point — צ'ק פוינט — תל אביב
- cyberark — סייברארק — פתח תקווה
- jfrog — ג'יי-פרוג — נתניה
- radware — רדוור — תל אביב
- solaredge — סולאראדג' — הרצליה
- varonis — ורוניס — הרצליה
- wix — וויקס — תל אביב
06 מה נבדק ונפסל
מבוי סתום שמדווח בכנות שווה יותר מפיצ'ר מרופד. כל אחד מהבאים נבדק בבקשה אמיתית ב-18.8.2026, ונפסל.
1 · פיד ההתרעות של מערך הסייבר הלאומי (gov.il) — חסום. זה היה המקור הישראלי המשמעותי ביותר שאפשר היה לקוות לו, והוא לא זמין לשרת. https://www.gov.il/he/pages/cyber_alerts החזיר HTTP 403 עם אתגר Cloudflare ("Just a moment…"), גם עם User-Agent של דפדפן; /api/DynamicCollector החזיר 404 מאחורי אותו שער. המשמעות: אין בדף הזה שום אות מרשות ישראלית. אין התרעות INCD, אין הצלבה מול הנחיות רשמיות. זה חור אמיתי, והוא מוצהר ולא מוסתר.
2 · מדידת חשיפה בפועל בישראל — לא נגישה. הרעיון היה לספור כמה מכשירים מהדגם הפגיע גלויים לאינטרנט מתוך ישראל. Shodan ו-Censys מספקים בדיוק את זה — מאחורי מפתח בתשלום, שאין ברשותנו. InternetDB של Shodan אמנם חינמי, אבל עונה על כתובת IP בודדת ולא על צבירים, כך שהוא לא יכול לענות על "כמה בישראל". המשמעות: הדף לעולם לא יגיד "X מכשירים חשופים בישראל". הוא לא יודע, ומספר כזה היה המצאה.
3 · NVD כמקור העשרה — עובד, ונפסל מטעמי קצב. services.nvd.nist.gov נבדק והחזיר 200 ללא מפתח, עם תיאור ו-CVSS מלאים. אבל ללא מפתח הוא מוגבל ל-5 בקשות ל-30 שניות, והעשרת 74 הרשומות הרלוונטיות הייתה לוקחת כ-7.5 דקות בכל הרצה. EPSS נותן את אותה תרומה להחלטה בקריאה אחת, ולכן הוא נבחר. NVD משמש רק כיעד הקישור מכל CVE.
4 · התאמה לפי מחרוזת — שלוש טעויות אמיתיות שנתפסו בבדיקה. כולן היו מייצרות תשובה בטוחה ושגויה, וזה הסוג הגרוע ביותר של באג בדף כזה:
- "NICE" אינו NICE הישראלית. היצרן Nice שמופיע בקטלוג הוא Nice S.p.A. האיטלקית (Linear eMerge E3), לא NICE Ltd מרעננה. לכן NICE הוסרה במפורש מרשימת היצרנים הישראליים.
- "SmartConsole" סווג כשער גישה מרחוק, כי המחרוזת מכילה "sma" — קיצור שנועד להתאים למשפחת SonicWall SMA1000. SmartConsole היא ממשק ניהול שרץ על מחשב של מנהל רשת. הקיצורים הוחלפו בשמות מוצר מלאים, וההתאמה מעוגנת לגבולות מילה.
- "Server-Side Request Forgery" הפך מרכזיית טלפונים לשרת חשוף. סיווג שהסתכל גם על כותרת הפרצה זיהה את המילה "Server" בתוך שם הפגיעות של Cisco Unified Communications Manager וסימן אותו כרכיב היקפי. הסיווג מסתכל מאז על זהות המוצר בלבד, לעולם לא על כותרת הפגיעות.
07 כללי היושרה של הדף
ארבעה כללים שנאכפים בקוד, לא רק מוצהרים:
- מקור שנפל מוצג כאזהרה, לא כשקט. אם הפיד של CISA לא נקרא, הדף עובר למטמון המקומי ומציג באנר מפורש. בלי זה תקלת רשת הייתה גורמת לדף להיראות שקט יותר מהמציאות — וזו בדיוק הכשלה שהורגת דפי סטטוס.
- שדה חסר מוריד משפט, ולא ממציא אותו. ההסבר בעברית לכל רשומה מורכב אך ורק משדות שקיימים בה. אין EPSS — אין משפט EPSS. בעל עסק שפועל לפי משפט מומצא הוא התוצאה הגרועה ביותר שהדף הזה יכול לייצר.
- הערכה מסומנת כהערכה, בכל מופע. כל שורה שנשענת על ההערכה משוק ישראל נושאת את ההסתייגות במקום — לא רק כאן במתודולוגיה.
- נתונים ישנים מסומנים. הדף מחושב בשרת; אם המפרסם נתקע, סקריפט זעיר בדף מחשב את גיל החותמת ומציג אזהרה אחרי 36 שעות. עדיף דף שמודה שהוא תקוע על פני דף שמציג קריאה קפואה כאילו היא עכשווית.