Ivanti Connect Secure: استغلال سلسلة ثغرات يوم الصفر للحصول على صلاحيات root، وإحدى الثغرات الثلاث بلا تصحيح بعد

ربط مهاجمون ثلاث ثغرات مجهولة في بوابات VPN من نوع Ivanti Connect Secure لتنفيذ أوامر بصلاحيات root دون مصادقة، ثم جمعوا بيانات اعتماد Active Directory. أصلحت Ivanti ثغرتين في 13 أكتوبر (CVE-2026-104935)، فيما تبقى ثغرة رفع الصلاحيات مفتوحة.

ماذا حدث

في 13 أكتوبر 2026، أعلنت Ivanti عن الثغرة CVE-2026-104935 في بوابة VPN الخاصة بها Connect Secure، وقالت إنها على علم باستغلال محدود. وفي اليوم نفسه أضافت CISA الثغرة إلى فهرس الثغرات المستغلة، ومنحت الوكالات الفدرالية الأمريكية مهلة حتى 16 أكتوبر. وأبلغت عنها شركة Volexity التي اكتشفت سلسلة الاستغلال أثناء التحقيق في اختراق لدى أحد عملائها بدأ في 3 أكتوبر.

وبحسب Volexity، تجمع السلسلة ثلاث نقاط ضعف: تجاوز المصادقة في welcome.cgi، وكتابة ملفات تؤدي إلى تنفيذ تعليمات برمجية عن بُعد، ورفع الصلاحيات حتى root. الثغرتان الأوليان مجمّعتان تحت CVE-2026-104935 (CVSS 8.6) وقد أُصلحتا. أما رفع الصلاحيات فلا تصحيح له بعد، وتتوقعه Volexity خلال الأسابيع المقبلة.

ماذا فعل المهاجمون

تتتبع Volexity الجهة المهاجمة باسم UTA0576. لم تزرع webshell ولا بابًا خلفيًا، بل استخدمت البوابة لجمع بيانات الاعتماد: استعلامات LDAP في Active Directory، وهجمات Kerberoasting، ورشّ كلمات المرور، والتقاط حركة الشبكة لاستخراج عمليات دخول LDAP وHTTP Basic وNTLM المرسلة بنص واضح. واستهدفت أيضًا كلمات مرور LAPS ومفاتيح استرداد BitLocker وإعدادات VPN. ولأن التعديلات كانت في الذاكرة، قد لا تكشف أداة فحص السلامة من Ivanti ‏(Integrity Checker Tool) الاختراق.

ماذا تفعل الآن

1. تحقق من الإصدار. وفق قاعدة NVD، الفروع 22.8R2 حتى 22.8R2.4 و25.1 السابقة لـ 25.1.3.0 متأثرة؛ أما 22.7R2.14 وما قبلها فغير متأثرة.
2. حدّث فورًا إلى 22.8R2.5 أو 25.1.3.0 / 25.1.3.1، وفق نشرة Ivanti.
3. افحص السجلات بحثًا عن دفعات من الطلبات إلى /dana-na/auth/url_default/welcome.cgi تحمل ترويسة X-DSCGI-PATH، وعن ملفات غير متوقعة في /tmp/. لا تعتمد على Integrity Checker وحده.
4. إذا كانت البوابة مكشوفة منذ مطلع أكتوبر، فتعامل معها كأنها ربما اختُرقت: غيّر كلمات مرور حسابات الخدمة في AD التي يستخدمها VPN والحسابات المرتبطة بـ SPN، وجدّد كلمات مرور LAPS ومفاتيح BitLocker، وراقب محاولات رشّ كلمات المرور.
5. طبّق التصحيح الثالث فور صدوره من Ivanti.

رأينا

ترى بوابة VPN كل كلمة مرور تمر عبرها، ما يجعلها المكان المثالي لسرقة دليل كامل دون لمس أي جهاز عمل. التحديث يغلق الباب، لكن بيانات الاعتماد المسروقة قبله تبقى صالحة حتى تُغيَّر. هذا التغيير جزء من الاستجابة، لا خيار إضافي.

المصادر

• Ivanti — October 2026 Security Update
• Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-104935
• NIST NVD — CVE-2026-104935

كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←