أصدرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) تحذيرًا عاجلاً لمسؤولي الأمن، مطالبة إياهم بتصحيح ثغرة أمنية في منتجات Ivanti Connect Secure (ICS) بشكل فوري. هذه الثغرة، التي تُصنف ضمن هجمات «صفر-يوم»، تُستغل بنشاط منذ الأول من أكتوبر على الأقل.
تُعرف الثغرة بالمعرف CVE-2026-104935، وتُعد ثغرة تجاوز مصادقة عالية الخطورة. تسمح هذه الثغرة للمهاجمين عن بُعد، وبدون امتيازات، بتنفيذ أوامر عشوائية على أنظمة ICS المستهدفة من خلال هجمات منخفضة التعقيد لا تتطلب تفاعل المستخدم.
تفاصيل الاستغلال والتحذيرات
أصدرت شركة Ivanti إصدارات ICS 22.8R2.5 و25.1.3.0 و25.1.3.1 و25.1.1.2 يوم الثلاثاء لمعالجة هذه المشكلة الأمنية. وحذرت العملاء بضرورة «التحرك فورًا» نظرًا لوجود «استغلال محدود في العالم الحقيقي».
رصدت شركة Volexity للأمن السيبراني أن جهة تهديد غير معروفة تتعقبها باسم UTA0576 تستخدم هذه الثغرة مع ثغرتين أخريين في هجمات منذ الثالث من أكتوبر. تشمل سلسلة الاستغلال هذه تجاوز المصادقة وتنفيذ تعليمات برمجية عن بعد (RCE) وتصعيد امتيازات لتحقيق تنفيذ تعليمات برمجية على مستوى الجذر دون مصادقة. وأكدت شركة Defused للاستخبارات التهديدية تقرير Volexity، مشيرة إلى أنها عثرت على أدلة على استغلال الثغرة في البرية منذ الأول من أكتوبر.
في أعقاب الاستغلال، نفذت الجهات التهديدية إجراءات استغلال لاحقة استهدفت بيانات اعتماد Active Directory والأسرار، بما في ذلك كلمات مرور حل المشرف المحلي (LAPS) ومفاتيح استرداد BitLocker.
خطوات عاجلة لمسؤولي الأنظمة
أضافت CISA الثغرة CVE-2026-104935 إلى قائمتها للثغرات الأمنية المستغلة بنشاط، وأمرت الوكالات الفيدرالية بتأمين شبكاتها بحلول يوم الجمعة. كما أصدرت CISA توصية منفصلة تحث جميع فرق الأمن ومسؤولي الشبكات على تصحيح هذه الثغرة على الفور والبحث عن أدلة على أي اختراق، محذرة من أن استغلالها يؤدي إلى سرقة بيانات الاعتماد وتسريب البيانات.
إذا تم اكتشاف أجهزة Ivanti ICS مخترقة، نصحت CISA باتخاذ الإجراءات التالية:
- إنشاء نسخة احتياطية من تكوين الجهاز.
- إجراء إعادة ضبط المصنع وترقية الجهاز إلى أحدث إصدار (أو إعادة بناء النسخة الافتراضية والترقية في الأنظمة السحابية والافتراضية).
- استعادة تكوين الجهاز من النسخة الاحتياطية.
- إعادة تعيين كلمات المرور لجميع الحسابات، بما في ذلك حسابات النطاق والمسؤول والحسابات المحلية. وإلغاء وإعادة إصدار الشهادات المخزنة؛ وإعادة تعيين مفاتيح API المخزنة وبيانات اعتماد خادم الترخيص.
أشارت CISA إلى أن أداة Integrity Checker من Ivanti قد لا تكتشف أدلة على استغلال CVE-2026-104935 لأن أوامر المهاجمين تُنفذ في الذاكرة.
لدى Ivanti تاريخ طويل في معالجة ثغرات «صفر-يوم» أخرى مستغلة في منتجات Connect Secure على مدى السنوات القليلة الماضية، بما في ذلك ثغرة تجاوز مصادقة (CVE-2023-46805) وحقن أوامر (CVE-2024-21887) في أوائل يناير 2024، وثغرة تزوير طلب من جانب الخادم (CVE-2024-21893) بعد أسبوعين. وفي الآونة الأخيرة، عالجت Ivanti ثغرة تنفيذ تعليمات برمجية عن بعد (CVE-2025-0282) في يناير 2025، وثغرة RCE أخرى (CVE-2025-22457) استغلها جواسيس إلكترونيون مرتبطون بالصين منذ منتصف مارس 2025 على الأقل.
ما الذي يعنيه هذا للمطورين والمهندسين؟
بالنسبة للمطورين والمهندسين، يؤكد هذا التحذير على الأهمية القصوى للبقاء على اطلاع دائم بآخر التحديثات الأمنية. الثغرات مثل CVE-2026-104935 تستهدف عادة البنية التحتية الحيوية مثل حلول الوصول الآمن للشبكة (VPNs)، والتي يستخدمها الكثيرون للوصول إلى بيئات العمل. أي تأخير في تطبيق التصحيحات يمكن أن يعرض بيانات الاعتماد الحساسة وبيانات الشركة للخطر، مما يؤدي إلى سرقة البيانات أو حتى الوصول الكامل للشبكة الداخلية. من الضروري دمج إجراءات الأمن السيبراني القوية ومراجعات الأمان الدورية كجزء أساسي من دورة حياة تطوير البرمجيات والعمليات التشغيلية.
المصدر: bleepingcomputer.com