حثت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) فرق الأمن على تحديث أجهزة Ivanti Connect Secure فوراً، بعد تأكيد استغلال ثغرة تجاوز مصادقة في هجمات يوم-صفر منذ الأول من أكتوبر على الأقل.
الثغرة، المسجلة تحت المعرف CVE-2026-104935، مصنفة عالية الخطورة وتتيح لمهاجمين عن بُعد ومن دون امتيازات تنفيذ أوامر عشوائية على الأنظمة المستهدفة. ولا تتطلب الهجمات تفاعلاً من المستخدم، ما يزيد خطورتها على الأجهزة المكشوفة عبر الإنترنت.
تحديثات Ivanti والاستغلال المرصود
أصدرت Ivanti يوم الثلاثاء الإصدارات 22.8R2.5 و25.1.3.0 و25.1.3.1 و25.1.1.2 لمعالجة الخلل، وحثت العملاء على التحرك فوراً، مشيرة إلى وجود استغلال محدود في البرية.
وقالت شركة Volexity إن جهة تهديد مجهولة تتتبعها باسم UTA0576 بدأت، منذ الثالث من أكتوبر على الأقل، في دمج هذه الثغرة مع ثغرتين أخريين لتنفيذ سلسلة هجوم تجمع بين تجاوز المصادقة والتنفيذ عن بُعد وتصعيد الامتيازات، وصولاً إلى تنفيذ أوامر بصلاحيات الجذر من دون مصادقة.
ووفق Volexity، استهدفت أنشطة ما بعد الاختراق بيانات اعتماد وأسرار Active Directory، بما في ذلك كلمات مرور Local Administrator Password Solution (LAPS) ومفاتيح استرداد BitLocker. كما أكدت شركة Defused العثور على مؤشرات استغلال للثغرة في البرية منذ الأول من أكتوبر.
لماذا يهم هذا الخبر؟
ترصد Shadowserver أكثر من 5,600 مضيف مكشوف على الإنترنت يحمل بصمات Ivanti Connect Secure، لكن العدد لا يوضح كم منها مؤمّن أو يمثل بيئات مراقبة وهمية. لذلك لا يكفي تثبيت التحديث وحده لإثبات عدم وقوع اختراق، خصوصاً أن أوامر المهاجمين قد تُنفذ في الذاكرة.
أضافت CISA الثغرة إلى قائمة الثغرات المستغلة فعلياً، وألزمت الوكالات المدنية التنفيذية الفيدرالية بتأمين شبكاتها بحلول يوم الجمعة بموجب التوجيه التشغيلي الملزم BOD 26-04. كما وجهت تحذيراً منفصلاً إلى جميع فرق الأمن ومديري الشبكات لتحديث الأنظمة والتحقق من مؤشرات الاختراق.
ما الذي ينبغي فعله عند الاشتباه بالاختراق؟
تحذر CISA من الاعتماد على أداة Integrity Checker Tool التابعة لـIvanti وحدها، لأنها قد لا ترصد آثار استغلال CVE-2026-104935 عندما تُنفذ الأوامر في الذاكرة. وتوصي الوكالة بإجراء تحليل جنائي للشبكة والذاكرة، ثم اتباع الخطوات التالية عند تأكد الاختراق:
- إنشاء نسخة احتياطية من إعدادات الجهاز.
- إجراء إعادة ضبط إلى إعدادات المصنع وتثبيت أحدث إصدار؛ أما الأنظمة السحابية والافتراضية فينبغي إعادة بنائها وتحديثها.
- استعادة الإعدادات من النسخة الاحتياطية.
- تغيير كلمات مرور جميع الحسابات، بما فيها حسابات النطاق والمسؤولين والحسابات المحلية.
- إلغاء الشهادات المخزنة وإعادة إصدارها، إلى جانب إعادة ضبط مفاتيح API وبيانات اعتماد خادم التراخيص.
تأتي هذه الحادثة ضمن سلسلة من ثغرات Ivanti Connect Secure المستغلة ميدانياً خلال السنوات الأخيرة. ومنذ نوفمبر 2021، أدرجت CISA 36 ثغرة مرتبطة بـIvanti في قائمة الثغرات المستغلة فعلياً، استُخدمت 12 منها أيضاً في هجمات برمجيات الفدية.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.