בדקנו 1,237 תיקונים. אחד מכל ארבעה לא היה מתוקן.

Read this article in English

בין אוקטובר 2021 לאוגוסט 2026 הלקוחות שלנו שלחו אלינו חזרה 1,237 תיקונים וביקשו שנאשר שהם עובדים. 307 מהם לא עבדו.

זה יותר מאחד מכל ארבעה. לא אחד מכל ארבעה ממצאים — אחד מכל ארבעה תיקונים, שכל אחד מהם הוגש על ידי צוות שהאמין שהעבודה נגמרה.

מאיפה המספר הזה מגיע

בדיקה חוזרת כלולה באיך שאנחנו עובדים ולא עולה כלום נוסף. כשלקוח תיקן משהו הוא אומר לנו, ואנחנו מריצים מחדש את המתקפה המקורית. אז הממצא נסגר כמתוקן, או שלא. הדבר היחיד שאנחנו לא יכולים לעשות הוא להתחיל את זה — הלקוח צריך לבקש, ורוב הזמן אף אחד לא מבקש.

לאורך החלון דיווחנו ללקוחות 4,956 ממצאים. 1,237 נשלחו לאימות, ו-1,159 מהם הגיעו לפסיקה חד-משמעית.

26.5% נכשלו באימות — וזה המספר אחרי כמה סבבים שנדרשו, לא בניסיון הראשון.

הניסיון הראשון גרוע בהרבה

רק 42% מהתיקונים נכונים בפעם הראשונה שאנחנו מסתכלים. הפער בין זה ל-73% שעוברים בסוף עשוי כולו מניסיונות שניים ושלישיים — עבודה שקרתה רק כי מישהו בדק.

רוב ההתאוששות קורית בסבב נוסף אחד: 1,081 תיקונים נסגרו אחרי בדיקה חוזרת אחת, 119 נזקקו לשתיים, 20 לשלוש. זנב עיקש נזקק עד לעשר.

למה תיקון נכשל

הכשלונות אינם רשלנות. הם מתקבצים בצורה שכל מי שתיקן באג אבטחה יזהה.

התיקון מטפל בהוכחה, לא בפגם. אנחנו מדווחים על עקיפת הרשאות ומדגימים אותה על אובייקט 1,041. הבדיקה נוספת ל-endpoint הזה. אותה בדיקה חסרה ב-endpoint השכן, שהדוח שלנו תיאר אבל לא צילם, נשארת פתוחה. זו הצורה הנפוצה ביותר של תיקון חלקי.

התיקון נכון ולא שלם. הקלט מאומת במסלול שהראינו, והמסלול השני לאותו handler לא נגוע.

הבקרה מוזערה במקום תוקנה. חוק WAF חוסם עכשיו את ה-payload ששלחנו. החולשה עדיין שם; מה שהשתנה זו חתימה אחת. לכן אנחנו מדרגים מוזער בנפרד מתוקן — בבדיקה ראשונה 337 תיקונים היו בדיוק זה.

כל אחד מאלה בלתי נראה בלי בדיקה חוזרת. למפתח אין דרך לדעת: המתקפה שבדוח כבר לא עובדת, ומהצד שלו זה נראה בדיוק כמו הצלחה.

העיכוב הוא לא איפה שהייתם מנחשים

אנחנו מחזירים בדיקה חוזרת תוך כחמש שעות. 33 הימים האחרים הם התיקון עצמו, וזה סביר לגמרי. הנקודה היחידה היא ששלב האימות כמעט לא עולה כלום, אז מה שמונע מארגונים לסגור את הלולאה הוא לא עלות הבדיקה.

מה כן עוצר את זה

מבין הלקוחות שדווחו להם עשרה ממצאים או יותר, 28 מעולם לא הגישו ולו אחד לבדיקה חוזרת. שישה מאמתים הכל. הארגון החציוני מאמת 19% ממה שמספרים לו.

הפיזור הזה הוא לא עניין של תקציב או סקטור. הוא עוקב אחרי דבר אחד: האם הבדיקה החוזרת נכתבה לתוך ההתקשרות מלכתחילה, או הושארה כמשהו לסדר אחר כך. לולאות שהיו חלק מהתוכנית נסגרות. לולאות אופציונליות לא, כי ברגע שהדוח נמסר האנשים שהיו אמורים להוביל אותן כבר בדבר הבא.

מה לעשות עם זה

תתייחסו ל”תוקן” כטענה, לא כסטטוס. עד שמישהו הריץ מחדש את המתקפה, טיקט סגור מתעד כוונה. לפי המספרים שלנו, הכוונה הזו שגויה בערך ברבע מהמקרים.

תכניסו את הבדיקה החוזרת להסכם. לא כאופציה, לא כהצעת מחיר המשך. המנבא החזק ביותר לשאלה אם ממצאים יאומתו הוא אם מישהו הסכים לאמת אותם לפני שהבדיקה התחילה.

תבקשו את פירוט הכישלון, לא רק את המעבר. בדיקה חוזרת שאומרת “תוקן” לא מלמדת אתכם כלום. אחת שאומרת “תוקן ב-endpoint שהדגמנו, עדיין פתוח בשלושה האחרים” מספרת לכם משהו על איך הצוות שלכם קורא דוח.

תבדקו לפי מחלקה, לא לפי טיקט. אם מצאנו IDOR על אובייקט אחד, השאלה בבדיקה החוזרת היא לא אם האובייקט הזה תוקן. היא אם הדפוס תוקן.

הנתונים מרשומות העבודה שלנו, אוקטובר 2021 עד אוגוסט 2026: 4,956 ממצאים פורסמו, 1,237 הוגשו לבדיקה חוזרת, 1,159 הגיעו לפסיקה חד-משמעית. ספירות והתפלגויות בלבד — אף לקוח אינו ניתן לזיהוי מאף מספר כאן.