قالت شركة الأمن السيبراني Volexity في 13 أكتوبر إن مهاجماً ربط ثلاث ثغرات يوم الصفر في جهاز VPN من طراز Ivanti Connect Secure لتنفيذ أوامر بصلاحيات الجذر دون تسجيل دخول. وقد أصدرت Ivanti إصلاحات لثغرتين من الثغرات الثلاث ونصحت العملاء على الإصدارات المتأثرة بـ”التصرف فوراً”. ولا يزال إصلاح الثغرة الثالثة معلقاً بحسب Volexity.
وكانت Volexity، التي أبلغت Ivanti بالثغرات، قد اكتشفت الهجوم على جهاز أحد العملاء. وكان الجهاز محدثاً بالكامل وقت الهجوم ويعمل بالإصدار 22.8R2.4. وبدأ المهاجم، الذي تتبعه Volexity تحت الاسم UTA0576، استغلاله في 3 أكتوبر. وقالت Ivanti في 13 أكتوبر إنها على علم بـ”استغلال محدود في البرية”.
سلسلة الثغرات الثلاث
الثغرتان الأولى والثانية هما تجاوز للمصادقة وثغرة تنفيذ تعليمات برمجية عن بُعد، وتُتابعان معاً تحت المعرّف CVE-2026-104935. وتتيحان معاً للمهاجم تشغيل شيفرة تحت حساب cgi-server الخاص بالجهاز، ثم ترفع الثغرة الثالثة، وهي تصعيد صلاحيات، ذلك إلى صلاحيات الجذر.
ويوضح سجل CVE الذي قدمته Ivanti الإصدارات المتأثرة من Connect Secure: الإصدارات “قبل 25.1.3.0” متأثرة، والإصدار 22.7R2.14 “أو ما قبله” غير متأثر، بينما تُدرج الإصدارات 22.8R2.5 و25.1.3.0 و25.1.3.1 كغير متأثرة. وتاريخ ملاحظات إصدار 25.1.3.0 هو يوليو 2026، والعملاء الموجودون على ذلك الإصدار خارج النطاق الذي يحدده سجل CVE. ويعمل فريق Ivanti على إصلاح ثغرة تصعيد الصلاحيات، وسيصدر “في إصدار مستقبلي خلال الأسابيع المقبلة” وفقاً لـ Volexity، ولم يذكر تقريرها الخطر الذي تحمله تلك الثغرة على جهاز أُصلحت فيه الثغرتان الأولى والثانية.
أداة الفحص تفشل في كشف السلسلة
تنصح Ivanti عملاءها بالترقية وتشغيل أداة Integrity Checker Tool بانتظام. لكن Volexity قالت إن تلك الأداة تفشل في كشف هذه السلسلة لأن الاستغلال يغيّر شيفرة المكتبات في الذاكرة فقط ويعيد بيانات التكوين التي يعدلها. كما اتخذ المهاجم خطوات للبقاء مخفياً عن الأداة. ويستلزم تأكيد وجود اختراق تحقيقاً جنائياً رقمياً يشمل تحليل الشبكة والذاكرة.
وتأتي هذه المؤشرات من الحادثة الوحيدة التي حققت فيها Volexity: مسار URL وهو /dana-na/auth/url_default/welcome.cgi وقد طُلب بأعداد كبيرة، وترويسة HTTP باسم X-DSCGI-PATH على تلك الطلبات بقيمة لا تطابق مسار URL، والمجلد /data/.icscap/، وعنوان IP وهو 108.165.147[.]64 الذي استخدمه المهاجم. وفي تلك الحادثة، سرق المهاجم بيانات اعتماد مخزنة، بما في ذلك بيانات اعتماد مجال LDAP، وبحث في Active Directory عن كلمات المرور، وشغّل هجمات رش كلمات المرور ضد حساباته. ولم يُترك أي باب خلفي أو واجهة ويب خبيثة، إذ كان المهاجم يعيد تشغيل سلسلة الاستغلال بالكامل عند كل أمر.
ولا يذكر تقرير Volexity ومنشور Ivanti أي حل مؤقت للعملاء الذين لا يستطيعون الترقية بعد، ولا يقولان ما إذا كانت الترقية تزيل الوصول الذي حصّله المهاجم بالفعل. وقيّمت Volexity بثقة منخفضة أن دافع UTA0576 جنائي لا استخباري. ولم تذكر الشركتان عدد العملاء الذين تعرضوا للهجوم. وتقيّم Ivanti الثغرة CVE-2026-104935 بـ 8.6 من 10 على مقياس CVSS. وفي مدخلها الخاص في سجل CVE، تصف وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) الاستغلال بأنه “نشط” والتأثير التقني بأنه “كلي”.
ثغرات أخرى في منتجات مختلفة
بشكل منفصل، يغطي منشور Ivanti نفسه إصلاحات لمنتجين آخرين هما Xtraction وNeurons Patch for Intune، وقالت Ivanti إنها ليست على علم باستغلال تلك الثغرات. ولكل منهما ثغرة تقيّمها Ivanti بـ 9.9 من 10: CVE-2026-106042 في Xtraction قبل الإصدار 2026.4، وCVE-2026-109412 في Neurons Patch for Intune.
