أصدرت شركة إيفانتي (Ivanti) تحديثات أمنية عاجلة لمعالجة ثغرتين جديدتين من نوع «يوم صفر» (Zero-day) في بوابات الوصول عن بُعد (Connect Secure - ICS)، بعد الكشف عن استغلالهما في هجمات متسلسلة بدأت منذ مطلع أكتوبر 2026. وتأتي هذه الخطوة في إطار محاولات الشركة لسد الثغرات التي استغلها المهاجمون للوصول إلى مستويات تحكم عميقة في شبكات المؤسسات.
تفاصيل الثغرات وآلية الاستغلال المتسلسل
تتمثل الثغرة الأولى، التي تحمل الرمز CVE-2026-111357، في خلل عالي الخطورة يسمح بتصعيد الصلاحيات (Privilege Escalation)، بينما تسمح الثغرة الثانية CVE-2026-118527 للمهاجمين المصادقين برفع ملفات ضارة على الأجهزة غير المحدثة. وقد قام المهاجمون بربط هاتين الثغرتين مع ثغرة ثالثة خاصة بتجاوز المصادقة (CVE-2026-104935) كانت إيفانتي قد أصدرت لها إصلاحاً في الشهر الماضي.
وأوضحت الشركة أنها قررت في البداية التركيز على معالجة ثغرة تجاوز المصادقة لأنها كانت تمثل مسار الهجوم الرئيسي، قبل أن تكتشف لاحقاً أن المهاجمين يستخدمون الثغرات الأخرى لتثبيت أقدامهم داخل الأنظمة. وأكدت إيفانتي أن هذا التسلسل سمح للمهاجمين بتنفيذ أوامر برمجية بمستوى «جذر النظام» (Root-level) حتى على الأجهزة التي كانت تظن المؤسسات أنها محمية بالكامل.
سلوك المهاجمين وتقنيات التخفي
كشفت شركة الأمن السيبراني «فولكسيتي» (Volexity)، التي رصدت هذه الهجمات، أن جهة تهديد تُعرف باسم UTA0576 كانت وراء هذه العمليات. وما يميز هذا الهجوم هو أن المهاجمين لم يعتمدوا على زرع برمجيات خبيثة تقليدية أو واجهات تحكم ويب (Web Shells)، بل كانوا يعيدون استغلال الثغرة مع كل أمر يتم تنفيذه، مع التلاعب بسجلات النظام لمحو آثارهم وتجنب اكتشافهم بواسطة أدوات فحص النزاهة التابعة لإيفانتي.
كما أكدت شركة الاستخبارات الأمنية «ديفوزد» (Defused) هذه النتائج، مشيرة إلى أن أولى علامات الاستغلال النشط بدأت في الأول من أكتوبر، مما يعكس سرعة استجابة المهاجمين للثغرات المكتشفة حديثاً في البنية التحتية الحساسة.
تحذيرات رسمية وانتشار عالمي
نظراً لخطورة الموقف، أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) الثغرة الرئيسية إلى كتالوج الثغرات المستغلة المعروفة، وأمرت الوكالات الفيدرالية بتحديث أنظمتها فوراً. وتشير بيانات مرصد «شادو سيرفر» (Shadowserver) إلى وجود أكثر من 5,000 جهاز من نوع ICS مكشوف على شبكة الإنترنت، ولا يزال من غير الواضح عدد الأجهزة التي تم تأمينها فعلياً حتى الآن.
لماذا يمثل هذا الخبر أهمية بالغة؟
تعتبر بوابات الوصول عن بُعد من إيفانتي هدفاً مفضلاً لمجموعات التجسس السيبراني، خاصة تلك المرتبطة بدول، لأنها توفر مدخلاً مباشراً إلى شبكات الشركات الكبرى لسرقة البيانات الحساسة. ما يتغير عملياً هنا هو أن المهاجمين أصبحوا أكثر قدرة على التخفي عبر «الهجمات بدون ملفات» (Fileless attacks)، مما يجعل الاعتماد على أدوات الفحص التقليدية غير كافٍ. يجب على مديري الأنظمة ليس فقط تثبيت التحديثات، بل ومراجعة سجلات الوصول بحثاً عن أي نشاط غير طبيعي يعود إلى بداية شهر أكتوبر، حيث أن التحديث يعالج الثغرة ولكنه لا يطرد مهاجماً قد نجح بالفعل في اختراق النظام وتثبيت وجوده بطرق أخرى.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.