حذرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) من سلسلة هجمات سيبرانية تستهدف منتجات Ivanti Connect Secure، بعدما رصدت استغلالاً فعلياً لثغرات أمنية متتابعة تمكن المهاجمين من الوصول إلى صلاحيات الجذر (Root Access) وتنفيذ تعليمات برمجية على الأنظمة المستهدفة دون الحاجة إلى أي عملية مصادقة مسبقة.
وأدرجت الوكالة ثغرتين إضافيتين ضمن قائمة الثغرات المعروفة المستغلة فعلياً (KEV)، في خطوة تعكس خطورة التهديد واتساع نطاقه. وتشمل الثغرات الجديدة:
- CVE-2026-111357، وهي ثغرة ناتجة عن غياب المصادقة لوظيفة حساسة، ما يسمح للمهاجمين برفع مستوى الامتيازات.
- CVE-2026-118527، وهي ثغرة مرتبطة بإنشاء معرفات أو أرقام يمكن التنبؤ بها، ما يتيح رفع ملفات تحتوي على محتوى يختاره المهاجم إلى مواقع معروفة داخل النظام.
وتأتي هذه التطورات بعد أسابيع من الكشف عن ثغرة ثالثة تحمل الرقم CVE-2026-104935، والتي مكّنت المهاجمين من تجاوز آليات المصادقة، ليتم دمج الثغرات الثلاث في سلسلة هجومية متكاملة توفر للمهاجم سيطرة شبه كاملة على الأنظمة المستهدفة.
سلسلة استغلال تمنح سيطرة كاملة
أوضحت شركة Volexity المتخصصة في الأمن السيبراني أن جهة تهديد تحمل الاسم التعريفي UTA0576 استخدمت سلسلة متكاملة من الثغرات تجمع بين تجاوز المصادقة وتنفيذ التعليمات البرمجية عن بُعد وتصعيد الامتيازات.
وبحسب الشركة، فإن هذه السلسلة سمحت للمهاجمين بتنفيذ تعليمات برمجية بمستوى صلاحيات الجذر دون الحاجة إلى بيانات اعتماد أو حسابات مستخدمين شرعية، وهو ما يجعل الهجوم من أكثر السيناريوهات خطورة في البيئة المؤسسية.
ويتميز هذا النوع من الهجمات بقدرته على تجاوز العديد من الضوابط الأمنية التقليدية، حيث لا يعتمد على استدراج المستخدمين أو تنفيذ حملات تصيد احتيالي، وإنما يستهدف الأنظمة مباشرة من خلال استغلال العيوب البرمجية الموجودة فيها.
المهاجمون ركزوا على جمع المعلومات الحساسة
اللافت في هذه الحملة أن المهاجمين لم يركزوا على زرع برمجيات خبيثة أو أبواب خلفية، كما هو معتاد في كثير من الاختراقات المتقدمة، بل انصب اهتمامهم على جمع البيانات الحساسة والمعلومات التي يمكن استخدامها في مراحل لاحقة من الهجوم.
وأظهرت التحقيقات أن المهاجمين تمكنوا من استخراج بيانات اعتماد المستخدمين والإداريين، بالإضافة إلى الحصول على معلومات وصفية محدودة من بيئة Active Directory.
كما نفذوا عمليات استطلاع موسعة لفهم البنية الداخلية للشبكات المخترقة، والبحث عن حسابات المسؤولين وكلمات المرور الخاصة بهم، إلى جانب محاولة الوصول إلى مفاتيح استعادة BitLocker المستخدمة في استرجاع البيانات المشفرة.
ويشير هذا السلوك إلى أن الهدف لم يكن التخريب الفوري، وإنما تعزيز القدرة على التسلل طويل الأمد داخل البيئات المستهدفة وتوسيع نطاق السيطرة لاحقاً.
Ivanti تطرح إصلاحات عاجلة
أكدت شركة Ivanti أنها كانت تعمل بالفعل على تطوير إصلاحات لبعض الثغرات عند اكتشاف أنشطة الاستغلال الفعلية. وأوضحت أن تركيزها الأولي كان موجهاً نحو معالجة ثغرة تجاوز المصادقة التي شكلت المسار الرئيسي للهجمات.
وأصبحت التحديثات الأمنية متاحة الآن للمستخدمين، حيث تم إصلاح الثغرات في الإصدار 25.1.1.3 بالنسبة لسلسلة الإصدارات 25.1، وفي الإصدار 22.8R2.6 بالنسبة للإصدارات الأقدم المدعومة.
كما أشارت الشركة إلى أنها كانت قد اكتشفت جزءاً من المشكلة داخلياً ضمن برنامج أمن المنتجات الخاص بها، وبدأت بالفعل العمل على تضمين إصلاحات أمنية في بعض الإصدارات السابقة قبل ظهور عمليات الاستغلال.
CISA تفرض مواعيد نهائية للتحديث
دفعت خطورة الهجمات وكالة CISA إلى إضافة الثغرتين الجديدتين إلى قائمة الثغرات المستغلة فعلياً، وهي القائمة التي تستخدمها الجهات الحكومية الأمريكية لتحديد أولويات المعالجة الأمنية.
وطالبت الوكالة المؤسسات الفيدرالية المدنية الأمريكية بتطبيق التحديثات الخاصة بالثغرة CVE-2026-111357 قبل 2 نوفمبر 2026، ومعالجة الثغرة CVE-2026-118527 قبل 13 نوفمبر 2026.
ويعكس هذا التحرك السريع حجم القلق من استمرار استغلال هذه الثغرات، خصوصاً أنها تُمكّن المهاجمين من الانتقال من مرحلة الوصول الأولي إلى تنفيذ تعليمات برمجية بصلاحيات كاملة دون الحاجة إلى أي مصادقة، وهو ما يجعلها من أخطر الثغرات التي واجهتها منصات الوصول الآمن والشبكات المؤسسية خلال الفترة الأخيرة.
