CISA يحث على تحديث Ivanti Connect Secure فورًا مع انتشار الاستغلال

أدرجت CISA ثغرة Ivanti في كتالوج الثغرات المستغلة المعروفة

دعت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) يوم الثلاثاء المنظمات إلى تحديث أجهزتها وتثبيتات Ivanti Connect Secure (ICS) إلى أحدث إصدار فورًا، بعد اكتشاف ثغرة حقن في صفحة المصادقة تُنشط بنشاط وتُعرف بـ CVE-2026-104935 (درجة CVSS: 8,6).

تؤثر الثغرة على إصدارات ICS 25.1.1.1 وأقدم، و25.1.2.2 وأقدم، بالإضافة إلى 22.8R2.4 وأقدم، وقد تتيح لمهاجم بعيد غير مصرح له تنفيذ أوامر اعتباطية. أضافت CISA الثغرة إلى كتالوج الثغرات المستغلة المعروفة (KEV)، مما يلزم وكالات التنفيذ المدنية الفيدرالية (FCEB) بتطبيق الإصلاحات بحلول 16 أكتوبر 2026. كما أشارت الوكالة إلى أن دعم الإصدار 22.8 سينتهي في 31 يناير 2027، ووجهت المستخدمين إلى دليل توافق تحديثات وترحيل Ivanti Connect Secure للحصول على تعليمات التصحيح.

صرحت CISA بأنه يتعين على المنظمات التي ترغب في تحديد ما إذا كانت قد تعرضت للاختراق إجراء التحليل الجنائي للشبكة والذاكرة. وإذا تم اكتشاف اختراق، تقدم الوكالة توصيات: إنشاء نسخة احتياطية من تكوين الجهاز، وإعادة ضبطه إلى إعدادات المصنع والتحديث إلى أحدث إصدار، وإعادة إنشاء المثيلات الافتراضية للأنظمة السحابية والافتراضية، واستعادة التكوين من النسخة الاحتياطية، وإعادة تعيين جميع كلمات مرور الحسابات، بما في ذلك حسابات النطاق والمدير والحسابات المحلية، وإبطال وإعادة إصدار الشهادات المخزنة، مع إعادة تعيين مفاتيح API المخزنة وبيانات اعتماد خادم الترخيص.

سجلت مصائد العسل 105 محاولة استغلال

صدر التحذير عندما أعلنت Previdian أن حساسات مصائد العسل لديها سجلت، اعتبارًا من 14 أكتوبر 2026، 105 محاولة استغلال. جاءت المحاولات من 50 عنوان IP فريدة يُنسب تحديدها الجغرافي إلى سنغافورة والولايات المتحدة، من بينها 216.73.160.59 و216.73.160.61 و216.73.160.210 و45.8.19.111.

صرح مؤسس ورئيس تنفيذي Previdian ريان ديوهيرست بأن فاعلي التهديد يستخدمون ترويسة X-DSCGI-PATH للوصول إلى معالج CGI الداخلي وتحميل نصوص Perl مخبأة كملفات ZIP. تُرجع النصوص علامات فريدة تحدد ما إذا كان تنفيذ التعليمات البرمجية عن بُعد قد اكتمل بنجاح. ووفقًا لديوهيرست، فإن الحمولات التي تم التقاطها حتى الآن تتحقق أساسًا من تنفيذ التعليمات البرمجية وليس من نشر برنامج ضار أو اختراق الجهاز، على أنه من المتوقع أن يتبع الاستغلال المُسلح بالكامل في الساعات والأيام القادمة.

فاعل التهديد UTA0576 يحقق تنفيذ تعليمات برمجية بمستوى root

في تقرير منفصل، أعلنت Volexity أنه تم رصد استغلال CVE-2026-104935 لأول مرة في 3 أكتوبر 2026: استخدمه فاعل تهديد غير موثق سابقًا UTA0576، بالاشتراك مع ثغرة تصعيد الامتيازات، للوصول إلى تنفيذ تعليمات برمجية بمستوى root غير مصرح به. تقدر Volexity أن UTA0576 يعمل بدوافع إجرامية وليس للتجسس.

بعد الاستغلال الناجح، شارك فاعل التهديد في نشاط واسع بعد الاستغلال، بما في ذلك استخراج بيانات الاعتماد المخزنة على جهاز ICS VPN، وتسريب بيانات Active Directory الوصفية المحدودة، ونشر أداة Kerberos القادرة على هجمات Kerberoasting واختبار بيانات الاعتماد، ومراقبة المضيف والتقاط حزم LDAP، بالإضافة إلى تضمين أداة Python LDAP للبحث عن كلمات مرور المسؤول ومفاتيح استعادة BitLocker. صرح باحثو Volexity تشارلي غاردينر وشون كيسيل وستيفن أديير أن الحمولات المستعادة تظهر جهدًا متعمدًا لإخفاء النشاط الخبيث من خلال التعديل الانتقائي للسجلات، وحذف عناصر التنفيذ المؤقتة، واستعادة حالة النظام المعدلة.

المصادر: The Hacker News