حثت Ivanti عملاءها على تحديث بوابة الوصول عن بُعد Ivanti Connect Secure فوراً بعد الكشف عن ثغرة يوم الصفر CVE-2026-104935، وهي ثغرة عالية الخطورة لتجاوز المصادقة يجري استغلالها في هجمات فعلية. وتؤثر الثغرة في الإصدارات 22.8R2.4 وما قبلها، و25.1.2.2 وما قبلها، و25.1.1.1 وما قبلها.
تتيح الثغرة لمهاجمين غير مصرح لهم تنفيذ أوامر عشوائية على الأجهزة المستهدفة عبر هجمات منخفضة التعقيد لا تتطلب أي تفاعل من المستخدم. وتستخدم Connect Secure، المعروفة سابقاً باسم Pulse Connect Secure وقبلها Juniper Pulse، لتوفير وصول آمن للموظفين والمتعاقدين وفرق العمل الهجينة إلى موارد الشركات والخدمات السحابية.
استغلال متعدد المراحل
قالت Ivanti إنها رصدت استغلالاً محدوداً للثغرة في بيئة الإنترنت وقت الإفصاح، ودعت العملاء إلى مراجعة النشرة الأمنية والترقية إلى إصدار مُصلح وتشغيل أداة Integrity Checker بانتظام. لكن شركة Volexity، التي اكتشفت الثغرة وأبلغت عنها، قالت إن جهة تهديد غير معروفة تتتبعها باسم UTA0576 استخدمتها منذ 3 أكتوبر على الأقل، وربطتها بثغرتين إضافيتين لتنفيذ تعليمات برمجية بصلاحيات الجذر من دون مصادقة، حتى على أجهزة محدثة بالكامل.
وبحسب Volexity، لم تزرع الجهة المهاجمة برمجيات خبيثة أو أدوات ويب دائمة؛ بل أعادت استغلال الجهاز لتنفيذ كل أمر، كما عبثت بالسجلات لإخفاء آثارها وتمكنت من تجاوز أداة Integrity Checker التابعة لـIvanti. وأكدت شركة Defused أنها رصدت أول مؤشرات استغلال للثغرة في البرية في 1 أكتوبر.
ما الذي يتغير عملياً؟
لا يقتصر الخطر على تثبيت التصحيح الخاص بالثغرة الحالية، إذ أشارت Ivanti إلى أنها ما تزال تعمل على معالجة ثغرة تصعيد صلاحيات استُخدمت ضمن السلسلة نفسها. لذلك يحتاج مشغلو الأجهزة المتأثرة إلى اتباع النشرة الأمنية كاملة، والتحقق من سلامة الأنظمة والسجلات، وعدم اعتبار اجتياز Integrity Checker دليلاً كافياً وحده على خلو الجهاز من العبث.
وتتبع Shadowserver أكثر من 5,500 instance من Connect Secure مكشوفة على الإنترنت، مع عدم توفر معلومات تحدد عدد الأجهزة التي تمثل مصائد honeypots أو التي جرى تأمينها بالفعل. ويزيد ذلك من أهمية تحديد الأصول المكشوفة وترتيب ترقيتها، خصوصاً أن بوابات الوصول عن بُعد تقع عند الحد الفاصل بين الإنترنت وشبكات المؤسسات.
سياق متكرر لمنتج مستهدف
أصلحت Ivanti خلال السنوات الماضية عدة ثغرات يوم صفر في Connect Secure استُغلت في هجمات، من بينها CVE-2023-46805 وCVE-2024-21887 في يناير 2024، وCVE-2024-21893 لاحقاً في الشهر نفسه، إضافة إلى ثغرتي التنفيذ عن بُعد CVE-2025-0282 وCVE-2025-22457 في 2025. كما أحصت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA عدد 36 ثغرة في منتجات Ivanti استُغلت فعلياً منذ نوفمبر 2021، أساءت عصابات الفدية استخدام 12 منها.
قراءة certi.news: التغيير الفعلي هنا هو انتقال ثغرة تجاوز المصادقة من نطاق الإفصاح إلى استغلال عملي يمنح المهاجم قدرة تنفيذ أوامر بصلاحيات مرتفعة، مع مؤشرات على أساليب تساعد في تفادي أدوات التحقق. أما نطاق الاستغلال وعدد الأجهزة المخترقة فعلياً فما زالا غير محسومين، ما يجعل التحديث والتحقق الجنائي من الأنظمة المتأثرة خطوتين متوازيتين لا بديل إحداهما عن الأخرى.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.