وكالة CISA تحذر المسؤولين من ثغرة في Ivanti تم استغلالها كـ ثغرة يوم صفر

person holding smartphone — Rodion Kutsaiev / Unsplash

حثت وكالة الأمن السيبراني وأمن البنية التحتية في الولايات المتحدة، والمعروفة باسم CISA، الفرق الأمنية على معالجة ثغرة في Ivanti Connect Secure على الفور، حيث تم استغلال هذه الثغرة في هجمات يوم صفر منذ الأول من أكتوبر على الأقل.

تسمح هذه الثغرة، التي تحمل الرمز CVE-2026-104935 وتصنف بأنها عالية الخطورة لتجاوز المصادقة، للجهات المهددة عن بعد والتي لا تملك صلاحيات بتنفيذ أوامر عشوائية على أنظمة Ivanti Connect Secure المستهدفة. وتتميز هذه الهجمات بأنها منخفضة التعقيد ولا تتطلب أي تفاعل من المستخدم.

أصدرت شركة Ivanti يوم الثلاثاء إصدارات من Ivanti Connect Secure وهي 22.8R2.5 و 25.1.3.0 و 25.1.3.1 و 25.1.1.2 لمعالجة هذا الخلل الأمني. وحذرت الشركة عملائها بضرورة التحرك الفوري بسبب وجود استغلال محدود للثغرة في الواقع.

أفادت شركة Volexity للأمن السيبراني أن جهة مهددة غير معروفة تتبعها تحت اسم UTA0576 قامت بربط هذه المشكلة الأمنية مع ثغرتين أخريين في هجمات بدأت منذ الثالث من أكتوبر على الأقل. وأوضحت Volexity أن سلسلة الاستغلال هذه جمعت بين تجاوز المصادقة، وتنفيذ التعليمات البرمجية عن بعد، وثغرة تصعيد الامتيازات لتحقيق تنفيذ تعليمات برمجية على مستوى الجذر دون مصادقة. كما رصدت الشركة إجراءات ما بعد الاستغلال استهدفت أسرار وبيانات اعتماد Active Directory، بما في ذلك كلمات مرور حل مدير النظام المحلي ومفاتيح استرداد BitLocker.

أكدت شركة Defused تقرير Volexity، مشيرة إلى أنها وجدت أدلة على إساءة استخدام الثغرة في الواقع منذ الأول من أكتوبر. وفي سياق متصل، تتبع منظمة Shadowserver حاليا أكثر من 5,600 مضيف معرض للإنترنت يحمل بصمات Ivanti Connect Secure، دون توفر معلومات حول عدد الأنظمة المؤمنة أو عدد أنظمة الخداع المصممة لرصد النشاط الضار.

أضافت CISA الثغرة إلى قائمتها للثغرات الأمنية التي يتم استغلالها بنشاط، وأمرت الوكالات الفيدرالية بتأمين شبكاتها ضد الهجمات بحلول يوم الجمعة، وفقا للتوجيه التشغيلي الملزم 26-04 الصادر في يونيو. كما أصدرت الوكالة استشارة منفصلة تحث فيها جميع المدافعين عن الشبكات على تحديث الأنظمة والبحث عن أدلة الاختراق، محذرة من أن أداة فحص النزاهة من Ivanti قد لا تكتشف الاستغلال لأن الأوامر تنفذ في الذاكرة.

يُذكر أن CISA أضافت 36 ثغرة أمنية خاصة بـ Ivanti إلى قائمة المشكلات المستغلة بنشاط منذ نوفمبر 2021، حيث تم استخدام 12 منها في هجمات برامج الفدية.