CISA הוסיפה שני פגמים ב-Ivanti Connect Secure ל-KEV לאחר ניצול

CISA הוסיפה שני פגמי אבטחה המשפיעים על Ivanti Connect Secure (ICS) לקטלוג הפגמים המנוצלים הידועים (KEV) שלה, לאחר ניצול פעיל בשטח. הפגמים הם חלק משרשרת ניצול שלדברי Volexity יכולה להשיג הרצת קוד ברמת root ללא אימות, ותיקונים זמינים כעת בגרסאות ICS נתמכות.

שני פגמים נוספו ל-KEV

הפגיעויות הן CVE-2026-111357, עם ציון CVSS של 8.8, המתוארת כהיעדר אימות לפונקציה קריטית שעלול לאפשר לתוקף מאומת מקומי להסלים הרשאות, ו-CVE-2026-118527, עם ציון CVSS של 4.3, המתוארת כיצירה של מספרים או מזהים ניתנים לחיזוי שעלולה לאפשר לתוקף מאומת מרחוק להעלות קבצים עם תוכן בשליטת התוקף למיקום ידוע בדיסק.

שרשרת ניצול ופעילות שנצפתה

Volexity תיעדה את השרשרת מוקדם יותר החודש, ואמרה שהיא שילבה עקיפת אימות, הרצת קוד מרחוק ופגיעות להסלמת הרשאות. היא נוצלה ככלי תקיפה באמצעות CVE-2026-104935, פגם בעקיפת אימות עם ציון CVSS של 8.6, על ידי שחקן איום שלא תועד בעבר המכונה UTA0576; CVE-2026-104935 נוסף לקטלוג KEV ב-13 באוקטובר 2026. בניגוד להתקפות שבדרך כלל משתמשות בפגמים כאלה כדי לפרוס web shells או תוכנות זדוניות, נצפה כשהוא מחלץ פרטי התחברות ומטא-נתונים מוגבלים של Active Directory, מבצע איסוף מודיעין על מארחים ומחפש סיסמאות מנהל ומפתחות שחזור של BitLocker.

תיקונים ומועדים פדרליים

Ivanti אמרה שהיה לה תיקון ל-CVE-2026-104935 בבקרת איכות כאשר התגלה הניצול, ובחרה שלא לעכב את התיקון שפתר את נתיב הניצול העיקרי כאשר התגלתה בעיית הסלמת ההרשאות המקומית. החברה גם אמרה שגילתה חלק מהפגיעות הזו דרך תוכנית אבטחת המוצר שלה ותיקנה אותה במהדורת יולי 25.1.3.0, ושהיא עבדה על backport של התיקון לגרסאות נתמכות אחרות כאשר התרחשה פעילות ניצול. תיקונים עבור CVE-2026-111357 ו-CVE-2026-118527 זמינים כעת: גרסאות מושפעות 25.1.1.2 וקודמות מתוקנות ב-25.1.1.3, וגרסאות מושפעות 22.8R2.5 וקודמות מתוקנות ב-22.8R2.6. המהדורה האחרונה מטפלת בכל הפגיעויות ששולבו בשרשרת ונוצלו בשטח. סוכנויות הענף המבצעי האזרחי הפדרלי נדרשות להחיל את התיקון ל-CVE-2026-111357 עד 2 בנובמבר 2026, ואת התיקון ל-CVE-2026-118527 עד 13 בנובמבר 2026.

סיקור קודם: CISA קראה לעדכון מיידי של Ivanti Connect Secure, הניצול מתרחב

מקורות: The Hacker News