Ivanti แจ้งช่องโหว่ศูนย์วันใน Connect Secure ถูกโจมตี

ผู้โจมตีที่ไม่มีสิทธิ์สามารถใช้ช่องโหว่ดังกล่าวในการโจมตีแบบความซับซ้อนต่ำเพื่อดำเนินการคำสั่งแบบอาร์บิททารีบนอุปกรณ์ ICS ที่ถูกโจมตี

"ในขณะที่เปิดเผยข้อมูล Ivanti ยังคงติดตามการโจมตีแบบจำกัดในโลกจริง เราทำงานร่วมกับองค์กรที่ได้รับผลกระทบเพื่อให้ข้อมูล การอัปเดต และการแก้ไขที่พร้อมให้บริการกับลูกค้าทั้งหมด หากคุณกำลังใช้เวอร์ชันที่ได้รับผลกระทบ Ivanti แนะนำให้ดำเนินการทันที" Ivanti ระบุ

"ลูกค้าควรตรวจสอบคำแนะนำด้านความปลอดภัย ทำการอัปเกรดเป็นเวอร์ชันที่แก้ไขโดยเร็วที่สุด และรัน Integrity Checker Tool อย่างสม่ำเสมอ"

Shadowserver ติดตามอินสแตนซ์ ICS ที่เปิดเผยต่อสาธารณะกว่า 5,500 ราย แต่ไม่มีข้อมูลว่ามีจำนวนเท่าไหร่ที่เป็นเป้าหมายของการโจมตีหรือได้รับการป้องกัน

ช่องโหว่ถูกใช้ตั้งแต่เดือนตุลาคม 1

Volexity เปิดเผยว่ากลุ่มภัยคุกคามที่เรียกว่า UTA0576 ใช้ช่องโหว่ CVE-2026-104935 ตั้งแต่เดือนตุลาคม 3 โดยเชื่อมโยงกับช่องโหว่อื่นสองช่องเพื่อดำเนินการรหัสแบบรูทระดับสูงบนอุปกรณ์ที่ได้รับการปรับใช้แล้ว

"อย่างน่าสังเกต UTA0576 ไม่ได้ใช้ซอฟต์แวร์อาชญากรรมหรือชัลล์เว็บ แต่ใช้การโจมตีซ้ำเพื่อรันคำสั่งทุกลูกค้าที่ทำการเรียกใช้และปรับเปลี่ยนบันทึกการตรวจสอบเพื่อหลบเลี่ยง Integrity Checker Tool" Volexity ระบุ

แม้ Ivanti จะแก้ไขช่องโหว่สองช่องแล้ว แต่ยังทำงานต่อเพื่อแก้ไขช่องโหว่สิทธิ์เพิ่มขึ้นที่ UTA0576 ใช้ในการโจมตีเดียวกัน

Defused ยืนยันรายงานของ Volexity พบสัญญาณแรกของการใช้ช่องโหว่ CVE-2026-104935 ในโลกจริงตั้งแต่เดือนตุลาคม 1

ผู้โจมตีหลายรายมักใช้ช่องโหว่ของ Ivanti โดยเฉพาะช่องศูนย์วัน เพื่อเจาะเครือข่ายองค์กรและขโมยข้อมูลลูกค้าและข้อมูลองค์กร

Ivanti ยังได้แก้ไขช่องโหว่ศูนย์วันอื่น ๆ ใน Connect Secure หลายช่องในช่วงหลายปีที่ผ่านมา โดยบางช่องถูกโจมตีแบบโซ่เพื่อติดตั้งมัลแวร์

ในเดือนมกราคม 2024 Ivanti แก้ไขช่องโหว่การหลีกเลี่ยงการตรวจสอบสิทธิ์ (CVE-2023-46805) และช่องโหว่การสั่งงานแบบคอมมานด์อินเจกชัน (CVE-2024-21887)

สองสัปดาห์ต่อมา Ivanti แก้ไขช่องโหว่แบบเซิร์ฟเวอร์ไซด์ รีเควสต์ ฟอรัลล์ (CVE-2024-21893)

ในเดือนมกราคม 2025 Ivanti แก้ไขช่องโหว่แบบรหัสการทำงานจากระยะไกล (RCE) ที่ติดตามเป็น CVE-2025-0282 และช่องโหว่ที่สอง (CVE-2025-22457) ที่เชื่อมโยงกับกลุ่มสปายซึ่งเชื่อมโยงกับจีน

CISA ได้บันทึกช่องโหว่ทั้งหมด 36 ช่องในผลิตภัณฑ์ของ Ivanti ที่ถูกใช้งานอย่างต่อเนื่องตั้งแต่เดือนพฤศจิกายน 2021 โดย 12 ช่องถูกใช้โดยกลุ่มแรนซัมแวร์

Ivanti มีพนักงานกว่า 3,000 คน ความสัมพันธ์กับพันธมิตรกว่า 7,000 ราย และลูกค้ามากกว่า 40,000 รายทั่วโลก

เมื่อผู้โจมตีได้รับข้อมูลการตรวจสอบสิทธิ์ที่ถูกต้องเพียง 37% ของการกระทำของพวกเขาจะถูกบล็อก

คะแนนการป้องกันโดยรวมอาจซ่อนความเสี่ยงที่เกิดขึ้นหลังการเข้าถึงเริ่มต้น

รายงาน Blue 2026 วัดเทคนิคการป้องกันโดยการจำลอง 338 ล้านครั้งในสภาพแวดล้อมการผลิตของลูกค้า