ایوانتی دو روز دیگر Connect Secure را به صورت زنجیره ای در حملات وصله می کند

ایوانتی به‌روزرسانی‌های امنیتی را برای اصلاح دو نقص دیگر دروازه دسترسی از راه دور Connect Secure (ICS) منتشر کرد که حداقل از اول اکتبر در حملات روز صفر زنجیره‌ای شده‌اند.

عوامل تهدید از این دو نقص (که با نام‌های CVE-2026-111357 و CVE-2026-118527 ردیابی می‌شوند) در کنار یک آسیب‌پذیری بای‌پس احراز هویت (CVE-2026-104935)، که ایوانتی ماه گذشته برای حذف سطح حمله اصلی اصلاح کرد، سوء استفاده کردند.

CVE-2026-111357 یک نقص تشدید امتیاز با شدت بالا است و CVE-2026-118527 به مهاجمان احراز هویت شده اجازه می‌دهد فایل‌ها را روی یک دستگاه اصلاح‌نشده آپلود کنند.

هنگامی که در ماه اکتبر وصله‌های CVE-2026-104935 را منتشر کرد، ایوانتی از مدیران خواست تا در اسرع وقت آن را ارتقا دهند زیرا از "استثمار محدود در طبیعت" آگاه بود.

ایوانتی در مشاوره ای که روز پنجشنبه به روز شد افزود: «در زمان کشف بهره برداری، ایوانتی یک تعمیر برای CVE-2026-104935 توسعه داده بود که قبلا در QA برای نسخه های پشتیبانی شده بود، و ما تصمیم گرفتیم که دریافت تعمیر برای مشتریانی که مسیر بهره برداری اولیه را هنگام کشف LPE حل کرده اند، به تأخیر ندهیم».

به همین دلیل، تمرکز ما در ابتدا بر افشای CVE-2026-104935 و ارائه حفاظت از مشتریان خود در اسرع وقت متمرکز بود.

شرکت امنیت سایبری Volexity که این نقص را پیدا کرد، در آن زمان گزارش داد که یک عامل تهدید (UTA0576) آسیب‌پذیری CVE-2026-104935 را حداقل از 3 اکتبر با دو نقص دیگر زنجیره‌ای می‌کند تا به اجرای کد در سطح ریشه احراز هویت نشده روی دستگاه‌های ICS کاملا اصلاح‌شده دست یابد.

Volexity گفت: "به ویژه، UTA0576 هیچ بدافزار یا پوسته وب را مستقر نکرده است. در عوض، عامل تهدید برای هر دستوری که اجرا می‌کرد، دوباره از دستگاه سوء استفاده می‌کرد و لاگ‌ها را دستکاری می‌کرد تا مسیرهای آن را بپوشاند، و از ابزار بررسی یکپارچگی Ivanti طفره می‌رفت."

شرکت اطلاعاتی تهدید Defused نیز گزارش Volexity را تایید کرد و گفت که اولین نشانه‌های بهره برداری فعال CVE-2026-104935 را از اول اکتبر مشاهده کرده است.

روز سه‌شنبه، آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) CVE-2026-104935 را به کاتالوگ آسیب‌پذیری‌های مورد سوء استفاده فعال خود اضافه کرد و به آژانس‌های فدرال دستور داد تا سیستم‌های خود را تا روز جمعه اصلاح کنند.

ناظر تهدیدات اینترنتی Shadowserver اکنون بیش از 5000 نمونه ICS در معرض اینترنت را ردیابی می کند، اما هیچ اطلاعاتی در مورد اینکه چه تعداد قبلا در برابر حملات مداوم ایمن شده اند وجود ندارد.

عوامل تهدید اغلب آسیب‌پذیری‌های Ivanti را مورد هدف قرار می‌دهند، اغلب در حملات روز صفر، زیرا آنها راهی سریع به شبکه‌های سازمانی برای سرقت داده‌های حساس شرکت‌ها و مشتریان می‌دهند.

در طی چند سال گذشته، ایوانتی چندین روز صفر دیگر Connect Secure را اصلاح کرده است که در طبیعت مورد سوء استفاده قرار می‌گیرند، که برخی از آنها در حملات گسترده برای استقرار بدافزار زنجیره‌ای شده‌اند.

در اوایل ژانویه 2024 به یک تزریق فرمان (CVE-2024-21887) و یک بای پس احراز هویت (CVE-2023-46805) و دو هفته بعد یک جعل درخواست سمت سرور (CVE-2024-21893) پرداخت.

اخیرا، ایوانتی یک باگ اجرای کد از راه دور (RCE) (CVE-2025-0282) را در ژانویه 2025 و یک نقص دوم RCE (CVE-2025-22457) را که حداقل از اواسط مارس 2025 توسط هکرهای دولتی مرتبط با چین مورد سوء استفاده قرار گرفته است، برطرف کرده است.

ایوانتی بیش از 3000 کارمند، شبکه ای متشکل از بیش از 7000 شریک و بیش از 40000 مشتری دارد که از راه حل های مدیریت دارایی فناوری اطلاعات خود در سراسر جهان استفاده می کنند.

از نوامبر 2021، CISA 38 آسیب‌پذیری Ivanti را به‌عنوان مورد سوء استفاده فعال در طبیعت علامت‌گذاری کرده است، از جمله 12 مورد که در حملات باج‌افزار نیز مورد سوء استفاده قرار گرفته‌اند.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، ببینید چه چیزی به دست می‌آید.

CISA به مدیران هشدار می دهد که فورا نقص Ivanti را که به عنوان روز صفر مورد سوء استفاده قرار گرفته است، برطرف کنند

ایوانتی هشدار می دهد که Connect Secure روز صفر در حملات مورد سوء استفاده قرار می گیرد

گوگل روز صفر اندروید را که به طور فعال مورد سوء استفاده قرار گرفته اند را در دستگاه های پیکسل برطرف می کند

Sonicwall در مورد SMA1000 جدید روز صفر که در حملات مورد سوء استفاده قرار می گیرد هشدار می دهد

Arista وصله های جدید VeloCloud Orchestrator zero-day را که در حملات مورد سوء استفاده قرار می گیرد