ثغرة Zero-day في Ivanti Connect Secure تُستغل منذ مطلع أكتوبر، والمهاجم يتحايل على أداة الكشف

كشفت شركة Ivanti في الثالث عشر من أكتوبر 2026 عن ثغرة Zero-day تتيح تجاوز المصادقة في بوابة Connect Secure SSL VPN الخاصة بها، والمُسجَّلة تحت الرمز CVE-2026-104935، مؤكدةً أنها تتعرض للاستغلال الفعلي في البيئة الحقيقية، وأن المهاجم المسؤول عن هذه الحملة بدأ نشاطه منذ الأول من أكتوبر على الأقل، أي قبل نحو أسبوعين من صدور التحذير العام. وتطال الثغرة إصدارات Connect Secure (ICS) 22.8R2.4 وما سبقها، فضلاً عن الفرع 25.1.x.

ما تُتيحه الثغرة

تُمكّن الثغرة مهاجماً بعيداً غير موثَّق من تنفيذ أوامر اعتباطية على الجهاز دون الحاجة إلى أي تفاعل من المستخدم، ومع تعقيد هجومي منخفض — وهو مزيج يحوّل بوابة VPN المكشوفة على الإنترنت إلى باب مفتوح. وشركة الأمن Volexity، التي اكتشفت الثغرة وأبلغت عنها، تتتبع المجموعة المستغِلّة لها تحت المسمى UTA0576. ووفقاً لـ Volexity، لم يكتفِ المهاجم بهذه الثغرة وحدها، بل سلسلها مع عيبين إضافيين لتحقيق تنفيذ تعليمات برمجية على مستوى الـ root دون مصادقة، وذلك على أجهزة كانت مُصحَّحة بالكامل في سائر جوانبها.

أصدرت Ivanti إصلاحات لاثنتين من الثغرات الثلاث ضمن تلك السلسلة. غير أن ثغرة تصعيد الصلاحيات التي تُكمل مسار الاستغلال لا تزال دون تصحيح حتى كتابة هذه السطور، مما يعني أن الإصلاح المتاح يُقلّص سطح الهجوم لكنه لا يُغلقه كلياً.

أساليب التمويه الجنائي

ما يُميّز هذه الحملة عن عمليات استغلال VPN الاعتيادية هو جهود التهرب التي يبذلها المهاجم. فـ UTA0576 لم تنشر أي برامج خبيثة ولا أي Web Shell — وهي الآثار التي يبحث عنها المدافعون عادةً في أعقاب أي اختراق. وعوضاً عن ذلك، رصدت Volexity المهاجم وهو يُعيد استغلال الجهاز من جديد لكل أمر يرغب في تنفيذه، مع إجراء تعديلات نشطة على سجلات الجهاز لمحو أي أثر لنشاطه. كما تمكّنت المجموعة من التحايل على Integrity Checker Tool الخاص بـ Ivanti، وهي الأداة التي تُنصح المؤسسات بتشغيلها للتحقق من سلامة أجهزتها — مما يعني أن نتيجة فحص نظيفة بهذه الأداة على جهاز متأثر لا يمكن اعتبارها دليلاً على الأمان.

حجم الانكشاف

رصدت خدمة المسح الأمني Shadowserver أكثر من 5,500 نسخة من Connect Secure يمكن الوصول إليها عبر الإنترنت العام، وإن كان من غير الواضح كم من هذه النسخ عبارة عن فخاخ أو Honeypots أو أجهزة جرى معالجتها بالفعل. وعلى صعيد منفصل، أفاد الباحث Defused برصد إشارات استغلال منذ الأول من أكتوبر على الأقل، مما يُشير إلى أن البداية الفعلية للحملة قد تسبق حتى تقدير Volexity بتاريخ الثالث من أكتوبر.

ما ينبغي على المؤسسات فعله

تحثّ Ivanti المسؤولين على الترقية فوراً إلى الإصدار المُصحَّح، مع التعامل مع Integrity Checker Tool باعتبارها إشارة واحدة ضمن مؤشرات متعددة لا دليلاً قاطعاً على النظافة، في ضوء القدرة المُثبَتة للمهاجم على التحايل عليها. ونظراً لأن المكوّن الثالث في سلسلة الاستغلال لا يزال دون تصحيح، ينبغي للمؤسسات التي تُشغّل Connect Secure أن تفترض استمرار المخاطرة حتى بعد تطبيق الإصلاحات المتاحة، وأن تُراجع السجلات وحالة الأجهزة بحثاً عن مؤشرات اختراق تعود إلى مطلع أكتوبر — لا من تاريخ الإفصاح وحده.

شكّلت بوابات VPN المؤسسية هدفاً متكرراً طوال عام 2026، تحديداً لكونها تقع على المحيط الخارجي للشبكات مع صلاحيات وصول مميّزة إلى كل ما يقع خلفها؛ ويأتي هذا الحادث ضمن نمط بات مألوفاً، تتسلسل فيه جهات فاعلة ذات ارتباطات حكومية أو دوافع مالية عدة ثغرات لإسقاط كلٍّ من المصادقة وأدوات الكشف الخاصة بالمورّد في حملة واحدة.

استناداً إلى ما أوردته BleepingComputer، بالاعتماد على أبحاث Volexity والنشرة الأمنية الصادرة عن Ivanti.