[{"data":1,"prerenderedAt":137},["ShallowReactive",2],{"publication:he:P148":3},{"meta":4,"copy":15,"relatedArticles":126,"terms":127,"term":128,"resourceParent":131,"glossaryParent":134},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14},"P148","\u002Fglossary\u002Fcvss","term","מה זה CVSS","מה זה CVSS: ציון חומרה ותעדוף חולשות","איך קוראים ציון CVSS וטווחי חומרה, מה ההבדל בין CVSS ל-EPSS, ולמה ציון גבוה אינו לבדו סדר העדיפויות של העסק.",[12,13],"\u002Fservices\u002Fsecurity-audit","\u002Fservices\u002Fdigital-security","2026-10-28",{"intro":16,"sections":17,"checklist":85,"faq":90,"sources":100,"links":103,"cta":121},"CVSS, קיצור של Common Vulnerability Scoring System, הוא שיטה לתיאור חומרה טכנית של חולשות בסולם 0 עד 10. הציון אינו הסתברות לפריצה ואינו לבדו מדד לסיכון העסקי. כדי לתעדף טיפול צריך לדעת גם איזו מערכת חשופה, מה תנאי הניצול ומה ההשפעה על העסק.",[18,53,60,69,80],{"title":19,"paragraphs":20,"table":22,"sources":49},"איך קוראים את טווחי החומרה",[21],"FIRST מגדירה את הטווחים הבאים במפרט CVSS 4.0. לצד הציון צריך לציין את גרסת השיטה ואת מקור ההערכה. אין להתייחס למספר ללא ההקשר שבו חושב, ואין להשוות אוטומטית ציונים מגרסאות שונות כאילו הם אותה מדידה.",{"caption":23,"headers":24,"rows":28},"טווחי חומרה לפי FIRST CVSS 4.0",[25,26,27],"טווח","סיווג","משמעות הקריאה",[29,33,37,41,45],[30,31,32],"0.0","ללא חומרה לפי המדדים","לא אישור כולל לבטיחות המערכת",[34,35,36],"0.1-3.9","נמוכה","נדרש הקשר לפני בחירת פעולה",[38,39,40],"4.0-6.9","בינונית","לא סיבה אוטומטית לדחות טיפול",[42,43,44],"7.0-8.9","גבוהה","בדקו חשיפה ותנאים בהקדם",[46,47,48],"9.0-10.0","קריטית","נדרשת בחינת דחיפות, לא הנחה שהתרחשה פריצה",[50],{"label":51,"url":52},"FIRST: מפרט CVSS 4.0","https:\u002F\u002Fwww.first.org\u002Fcvss\u002Fv4.0\u002Fspecification-document",{"title":54,"paragraphs":55,"sources":58},"מה יש מאחורי המספר",[56,57],"ב-CVSS 4.0 קיימות קבוצות מדדים בסיסיות, מדדי איום, מדדי סביבה ומדדים משלימים. המדדים המשלימים מוסיפים הקשר אך אינם משנים את הציון. מחרוזת הווקטור מתעדת את המדדים שנבחרו ומאפשרת להבין את בסיס החישוב.","לצורך החלטה תפעולית, בקשו לצד המספר גם גרסה, מקור ותיאור התנאים. אם מדד מתבסס על הנחה שאינה מתקיימת אצלכם, יש לברר את השפעת ההבדל. אין לשנות מספר באופן שרירותי רק כי הרכיב נראה לכם פחות חשוב.",[59],{"label":51,"url":52},{"title":61,"paragraphs":62,"sources":65},"מה ההבדל בין CVSS ל-EPSS",[63,64],"CVSS מתאר חומרה. EPSS של FIRST מעריך את ההסתברות שייעשה שימוש בחולשה שפורסמה בתקיפה בעולם במהלך 30 הימים הקרובים. זו אינה ההסתברות שהעסק המסוים שלכם ייפרץ, ואינה הוכחה לניצול מקומי.","אלה מדדים משלימים לשאלות שונות. גם מידע על ניצול שנצפה בעולם אינו מחליף בדיקה אם הרכיב קיים ונגיש אצלכם. אין להכפיל ציונים ולקרוא לתוצאה סיכון עסקי בלי מתודולוגיה מתאימה והסבר.",[66],{"label":67,"url":68},"FIRST: מה מודד EPSS","https:\u002F\u002Fwww.first.org\u002Fepss\u002F",{"title":70,"paragraphs":71,"steps":74},"איך מתעדפים טיפול בעסק קטן",[72,73],"התחילו בהתאמה: האם המוצר והגרסה קיימים. לאחר מכן בדקו חשיפה, תנאי ניצול, מידע על פעילות זדונית והשפעה על שירות חיוני. לבסוף בחרו בין תיקון, הגבלה זמנית ובירור נוסף, עם אחראי ולוח זמנים שמותאם למצב.","דוגמה היפותטית: חולשה עם ציון גבוה ברכיב שאינו מותקן אינה משימת תיקון באותו אתר. חולשה בציון נמוך יותר ברכיב חשוף שמציג סימני פגיעה עשויה לקבל קדימות. זו מסגרת החלטה, לא כלל שמבטל טיפול בכל ממצא גבוה.",[75,76,77,78,79],"התאמת הממצא למוצר ולגרסה.","בירור חשיפה, תנאים ומידע על ניצול.","הערכת פגיעה אפשרית בתהליכי העסק.","בחירת פעולה ותיעוד הסיבה לתעדוף.","בדיקה חוזרת אחרי הטיפול.",{"title":81,"paragraphs":82},"אילו טעויות למנוע בדוח אבטחה",[83,84],"אל תציגו ציון CVSS כציון האבטחה של האתר, כמספר ליקויים או כאחוז סיכוי לפריצה. אל תדחו ממצא בלי ציון כאילו הוא חסר משמעות. ואם מציגים ציון מתוך מקור חיצוני, שמרו את גרסתו, תאריך הבדיקה והקישור.","דוח שימושי מחבר בין הממצא לבין החלטה שאפשר לבצע ולאמת. בעסק קטן יש להגדיר מי מטפל, מה עלול להיפגע בזמן השינוי ומה ייחשב תיקון מוצלח. המספר מסייע לשיחה, אך אינו מחליף אותה.",[86,87,88,89],"לציון מצורפים גרסת CVSS ומקור.","אומתה התאמה למוצר ולגרסה באתר.","הופרדה חומרה מהסתברות ומראיות לניצול.","החלטת התעדוף כוללת הקשר עסקי ובדיקת סגירה.",[91,94,97],{"question":92,"answer":93},"האם ציון 10 אומר שכבר פרצו לאתר?","לא, הוא מתאר חומרה לפי המדדים שנבחרו ולא תוצאה של חקירה באתר. צריך לבדוק אם המערכת מושפעת ואם קיימות ראיות לפעילות לא מורשית. למרות זאת, ממצא רלוונטי בחומרה קריטית מצדיק בירור וטיפול דחוף בהתאם לחשיפה.",{"question":95,"answer":96},"למה שני גורמים נותנים ציונים שונים לאותה חולשה?","הם עשויים להשתמש בגרסאות שונות או להעריך אחרת את תנאי התקיפה וההשפעה. השוו את הווקטור, מקור המידע ותאריך ההערכה. אם ההבדל משנה את סדר העבודה, תעדו אילו הנחות מתאימות למערכת שלכם במקום לבחור את המספר הנוח יותר.",{"question":98,"answer":99},"האם צריך לתקן רק חולשות עם ציון גבוה?","לא, ציון נמוך יותר אינו שולל חשיפה משמעותית בתנאים מסוימים, ורכיב עסקי חיוני עשוי להצדיק קדימות. תהליך טוב מתחשב גם בהיתכנות ניצול, בהרשאות, בתלות העסקית וביכולת התיקון. טיפול בממצאים גבוהים אינו סיבה להזניח ממצאים אחרים ללא בחינה.",[101,102],{"label":51,"url":52},{"label":67,"url":68},[104,107,110,113,116,118],{"path":105,"label":106},"\u002Fglossary\u002Fcve","ההבדל בין CVE לציון חומרה",{"path":108,"label":109},"\u002Fblog\u002Fwordpress-plugin-vulnerability-response","הפיכת התראה על תוסף לתוכנית טיפול",{"path":111,"label":112},"\u002Fblog\u002Fsecurity-audit-vs-pentest","בדיקת אבטחה לעומת מבדק חדירה",{"path":114,"label":115},"\u002Fresources\u002Fsecurity-audit-sample","דוח לדוגמה עם סדר טיפול",{"path":12,"label":117},"בדיקת אבטחה לעסק",{"path":119,"label":120},"\u002Fblog\u002Fvulnerability-prioritization","שילוב חומרה, חשיפה ומידע על ניצול",{"title":122,"description":123,"type":124,"button":125},"צריכים להבין מה באמת דחוף בדוח?","שלחו תיאור של סוג הממצאים והמערכת, ללא סודות או פרטי גישה. נוכל לתאם בדיקת התאמה ותעדוף לפי החשיפה והפעילות העסקית.","check","לתיאום בדיקה",[],[],{"name":129,"aliases":130},"CVSS",[],{"path":132,"label":133},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":135,"label":136},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134061444]