אם החברה שלכם רצה משהו על AWS – ולא משנה אם זה EC2 בודד, EKS שלם, או Lambda פונקציה לקריאת מייל – השבוע פורסמו שלוש פגיעויות חמורות ב-Linux Kernel שדורשות תשומת לב. AWS כבר הוציאו עדכונים, אבל הם לא יוחלו עליכם אוטומטית בכל סוג שירות.

מה הפגיעות ולמה זה חשוב

הפגיעויות (CVE-2026-43284, CVE-2026-43500 ו-CVE-2026-31431) הן מסוג Privilege Escalation – תוקף שכבר השיג גישה כלשהי למכונה יכול להעלות הרשאות ולקבל root. זה לא וקטור התחלתי לפריצה, אבל זה השלב הקריטי שמפריד בין "מישהו נכנס ל-container אחד" לבין "מישהו שולט בכל ה-Host".

במציאות הענן, וקטור התחלתי בדרך כלל זה לא הבעיה הקשה – תמיד יש חולשה איפושהו (קוד שגוי, סוד שהודלף ב-Git, אפליקציית web שלא נסגרה). מה שמכיל פריצה זה דווקא שכבת ה-isolation. וזה בדיוק מה שהפגיעות הזו שוברת.

על מה זה משפיע

AWS פרסמו שזה משפיע על מספר רב של שירותים:

  • Amazon Linux: גרסאות 4.14, 5.4, 5.10, 5.15, 6.1, 6.12, 6.18. עדכונים זמינים, צריך להחיל ידנית.
  • Bottlerocket: כל הגרסאות הנתמכות מקבלות עדכונים.
  • ECS על EC2: עדכון AMI נדרש.
  • EKS: ה-AMI המאובטחים של EKS מעודכנים, אבל חייבים reploy.
  • Fargate: עדכונים אוטומטיים עד 19-20 במאי 2026 (גרסאות 1.3 ו-1.4 בהתאמה).
  • SageMaker: מופעלים אוטומטית למשאבים חדשים אחרי 20 במאי. למשאבים קיימים צריך restart.

מה כדאי לעשות השבוע

שלוש פעולות:

  • למפות מה רץ אצלכם: AWS Resource Explorer או tag-based query מהיר. צריך לדעת אילו EC2, ECS clusters ו-EKS node groups רצים על Amazon Linux.
  • לבדוק את גרסאות ה-AMI: ב-EKS למשל, ה-managed node groups צריכים rolling update. ב-self-managed זה לוקח יותר תכנון.
  • לתזמן rolling restart בשעות שקטות: במיוחד אם יש לכם stateful workloads. במקרה של ECS על EC2 – drain אינסטנס, להחליף ל-AMI חדש, להחזיר.

חשוב לזכור: עבור Fargate, AWS עושים את העדכון אוטומטית – אבל זה לא אומר שמיכלים קיימים מקבלים את הגרסה החדשה מיד. עליכם לעשות task restart או deployment מחדש כדי לקבל את הגרסה המעודכנת.

הנקודה הרחבה

פגיעויות ב-Linux Kernel הן לא נדירות, ועם אקוסיסטם בענן שמורכב מ-VMs, containers, ו-serverless שכולם בסופו של דבר רצים על אותו kernel – העדכון של AWS לא תמיד מספיק. הוא תנאי הכרחי אבל לא מספיק. אתם עדיין צריכים לבדוק שמה שאתם בניתם מעל זה אכן השתמש בגרסה המעודכנת.

אם הסביבה שלכם ב-AWS מורכבת, וקצב העדכונים שלכם הוא לא בקצב שאתם מרגישים נוח איתו, דברו איתנו. אנחנו מלווים סביבות AWS של לקוחות בכל גדלים – מעסק קטן עם 5 שרתים ועד ארגונים עם רב-account organizations – ועוזרים להפוך את ניהול הענן ממקור-לחץ למשהו שעובד ברקע.