روز-صفر Ivanti Connect Secure از اوایل اکتبر بهره‌برداری می‌شود، مهاجم از ابزار شناسایی فرار می‌کند

Ivanti در ۱۳ اکتبر ۲۰۲۶ اعلام کرد که یک آسیب‌پذیری دور زدن احراز هویت با شناسه CVE-2026-104935 در دروازه VPN SSL خود یعنی Connect Secure، به‌طور فعال در حال بهره‌برداری است — و مهاجم پشت آن حداقل از اول اکتبر، تقریباً دو هفته پیش از هشدار عمومی، این کمپین را اجرا کرده است. این نقص نسخه‌های ICS تا 22.8R2.4 و همچنین شاخه 25.1.x را تحت تأثیر قرار می‌دهد.

این آسیب‌پذیری چه اجازه‌ای می‌دهد

این باگ به مهاجم از راه دور و بدون احراز هویت اجازه می‌دهد دستورات دلخواه را روی دستگاه اجرا کند، بدون نیاز به تعامل کاربر و با پیچیدگی حمله پایین. شرکت امنیتی Volexity، که این نقص را کشف و گزارش کرد، گروه بهره‌بردار را با نام UTA0576 ردیابی می‌کند. طبق گزارش Volexity، این بازیگر تنها از این باگ استفاده نکرد: آن را با دو نقص دیگر زنجیره کرد تا به اجرای کد در سطح root و بدون احراز هویت روی دستگاه‌هایی که به‌طور کامل پچ شده بودند دست یابد.

Ivanti برای دو مورد از سه آسیب‌پذیری این زنجیره، وصله ارائه کرده است. یک نقص ارتقای سطح دسترسی که مسیر بهره‌برداری را کامل می‌کند، تا زمان نگارش این خبر همچنان وصله نشده باقی مانده است.

تکنیک‌های ضد پزشکی قانونی

آنچه این کمپین را از بهره‌برداری معمولی VPN متمایز می‌کند، کار فرار از شناسایی مهاجم است. UTA0576 هیچ بدافزار یا web shell مستقر نکرد — مدارک معمولی که مدافعان پس از نفوذ به دنبال آن‌ها هستند. در عوض، Volexity مشاهده کرد که این بازیگر برای هر دستوری که می‌خواست اجرا کند، دستگاه را دوباره بهره‌برداری می‌کرد و به‌طور فعال لاگ‌های دستگاه را برای حذف شواهد فعالیت خود تغییر می‌داد. این گروه همچنین از ابزار Integrity Checker خود Ivanti فرار کرد.

مقیاس در معرض خطر بودن

سرویس اسکن اینترنتی Shadowserver بیش از ۵,۵۰۰ نمونه Connect Secure قابل دسترسی از اینترنت عمومی را شمارش می‌کند. پژوهشگر Defused به‌طور جداگانه گزارش داد که سیگنال‌های بهره‌برداری را از اول اکتبر مشاهده کرده، که نشان می‌دهد شروع واقعی این کمپین ممکن است حتی زودتر از تخمین ۳ اکتبر Volexity باشد.

سازمان‌ها باید چه کنند

Ivanti به مدیران سیستم توصیه می‌کند فوراً به نسخه وصله‌شده ارتقا دهند و ابزار Integrity Checker را به‌عنوان یکی از چندین سیگنال در نظر بگیرند نه یک تأیید قطعی، با توجه به توانایی اثبات‌شده مهاجم برای فرار از آن. از آنجا که بخش سوم زنجیره بهره‌برداری همچنان وصله نشده، سازمان‌های دارای Connect Secure باید حتی پس از اعمال وصله‌های موجود، ریسک مداوم را در نظر بگیرند.

به گزارش BleepingComputer، بر اساس تحقیقات Volexity و مشاوره امنیتی رسمی Ivanti.