CISA קוראת לעדכון מיידי של Ivanti Connect Secure, הניצול מתרחב

CISA הכניסה את פרצת Ivanti לקטלוג הפרצות המנוצלות הידועות

סוכנות האבטחה הסייבר והתשתיות של ארה"ב (CISA) קראה ביום רביעי לארגונים לעדכן באופן מיידי את מכשירי והתקני Ivanti Connect Secure (ICS) שלהם לגרסה העדכנית ביותר, לאחר גילוייה של פרצת אימות בדף ההתחברות המנוצלת באופן פעיל, המזוהה כ-CVE-2026-104935 (ציון CVSS: 8.6).

הפרצה משפיעה על גרסאות 25.1.1.1 ומטה של ICS, גרסאות 25.1.2.2 ומטה, וכן גרסאות 22.8R2.4 ומטה, ועשויה לאפשר לתוקף מרחוק לא מורשה להפעיל פקודות שרירותיות. CISA הוסיפה את הפרצה לקטלוג הפרצות המנוצלות הידועות (KEV), מה שמחייב את סוכנויות הביצוע הפדרליות לאזרחים (FCEB) ליישם תיקונים עד ה-16 באוקטובר 2026. הסוכנות ציינה גם כי תמיכה בגרסה 22.8 תסתיים ב-31 בינואר 2027, ופנתה למשתמשים למדריך התאימות לעדכון והגירה של Ivanti Connect Secure.

CISA הצהירה כי על ארגונים שרוצים לקבוע האם נפגעו לבצע פרנזה של רשת וזיכרון. אם נחשף פגיעה, הסוכנות ממליצה: ליצור עותק גיבוי של תצורת המכשיר, לבצע איפוס להגדרות היצרן ולעדכן לגרסה העדכנית ביותר, ליצור מחדש מופעים וירטואליים של מערכות ענן ווירטואליות, לשחזר תצורה מעותק הגיבוי, לאפס את כל סיסמאות החשבונות, כולל חשבונות דומיין, מנהל ומקומיים, ולבטל ולהנפיק מחדש אישורים מאוחסנים, תוך איפוס מפתחות API מאוחסנים ואישורי שרת רישוי.

הוניפוטים תיעדו 105 ניסיונות ניצול

האזהרה פורסמה כאשר Previdian חשפה כי נכון ל-14 באוקטובר 2026 חיישני ההוניפוט שלה תיעדו 105 ניסיונות ניצול. הניסיונות הגיעו מ-50 כתובות IP ייחודיות, אשר זוהו גיאוגרפית כשייכות לסינגפור ולארה"ב, ביניהן 216.73.160.59, 216.73.160.61, 216.73.160.210 ו-45.8.19.111.

מייסד Previdian ומנכ"לה, ריאן דיוהרסט, הצהיר כי שחקני איום משתמשים בכותרת X-DSCGI-PATH כדי להגיע למעבד CGI פנימי ולטעון סקריפטי Perl מוסוים כקובצי ZIP. הסקריפטים מחזירים סימנים ייחודיים הקובעים האם הרצת הקוד המרחוק הצליחה. לפי דיוהרסט, מטענים שנלכדו עד כה בודקים בעיקר את הרצת הקוד ולא התקנת תוכנות זדוניות או פגיעה במכשיר, אך צפוי שניצול מלא יופיע בשעות ובימים הקרובים.

שחקן האיום UTA0576 משיג הרצת קוד ברמת root

בדיווח נפרד, Volexity הצהירה כי ניצול של CVE-2026-104935 תועד לראשונה ב-3 באוקטובר 2026: שימש בו שחקן איום שלא תועד קודם UTA0576, יחד עם פרצת הסלמת הרשאות, כדי להשיג הרצת קוד לא מורשית ברמת root. Volexity מעריכה כי UTA0576 פועל ממוטיבים פליליים ולא מרגל.

לאחר הניצול המוצלח, שחקן האיום נכנס לפעילות פוסט-ניצול נרחבת, כולל חילוץ אישורים המאוחסנים במכשיר ICS VPN, הזלת מטא-נתונים מוגבלים של Active Directory, התקנת כלי Kerberos המאפשרית תקיפות Kerberoasting ובדיקת אישורים, ניטור מארח ולכידת חבילות LDAP, וכן הטמעת כלי Python LDAP לאיתור סיסמאות מנהל ומפתחות שחזור BitLocker. חוקרי Volexity צ'ארלי גרדנר, שון קסל וסטיבן אדייר הצהירו כי מטענים ששוחזרו מציגים מאמץ מכוון להסתרת פעילות זדונית באמצעות שינוי סלקטיבי של יומנים, מחיקת ארטיפקטים של הרצה זמנית ושחזור מצב מערכת שונה.

מקורות: The Hacker News