CISA به مدیران هشدار می دهد که فورا نقص Ivanti را که به عنوان روز صفر مورد سوء استفاده قرار گرفته است، برطرف کنند

آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) از تیم‌های امنیتی خواست فورا نقص Ivanti Connect Secure (ICS) را که حداقل از اول اکتبر در حملات روز صفر مورد سوء استفاده قرار گرفته است، اصلاح کنند.

این آسیب‌پذیری دور زدن احراز هویت با شدت بالا که به‌عنوان CVE-2026-104935 ردیابی می‌شود، به عوامل تهدید از راه دور بدون امتیاز اجازه می‌دهد تا دستورات دلخواه را بر روی سیستم‌های ICS هدفمند در حملات کم‌پیچیدگی که نیازی به تعامل کاربر ندارند، اجرا کنند.

Ivanti نسخه‌های ICS 22.8R2.5، 25.1.3.0، 25.1.3.1 و 25.1.1.2 را روز سه‌شنبه برای رفع این نقص امنیتی منتشر کرد و به مشتریان هشدار داد به دلیل «استثمار محدود در طبیعت» فورا اقدام کنند.

در حالی که ایوانتی اطلاعات بیشتری در مورد حملات در حال انجام با هدف قرار دادن CVE-2026-104935 به اشتراک نمی گذارد، شرکت امنیت سایبری Volexity گزارش داد که یک عامل تهدید ناشناخته که تحت عنوان UTA0576 ردیابی می کند، حداقل از 3 اکتبر این مشکل امنیتی را با دو نقص دیگر در حملات مرتبط کرده است.

"این زنجیره بهره‌برداری یک دور زدن احراز هویت، یک اجرای کد از راه دور (RCE) و یک آسیب‌پذیری افزایش امتیاز را برای دستیابی به اجرای کد در سطح ریشه تایید نشده ترکیب می‌کند. آسیب‌پذیری‌های RCE و دور زدن احراز هویت تحت CVE-20239-10.lexity ردیابی می‌شوند."

"Volexity طیف وسیعی از اقدامات پس از بهره برداری توسط عامل تهدید را شناسایی کرد که اعتبارنامه و اسرار Active Directory را مورد هدف قرار می داد، از جمله رمزهای عبور Local Administrator Password Solution (LAPS) و کلیدهای بازیابی BitLocker."

شرکت اطلاعاتی Threat Defused نیز گزارش Volexity را تایید کرد و گفت که برای اولین بار شواهدی پیدا کرد که مهاجمان در حال سوء استفاده از CVE-2026-104935 در طبیعت در تاریخ 1 اکتبر هستند.

ناظر تهدیدات اینترنتی Shadowserver اکنون بیش از 5600 میزبان در معرض اینترنت را با اثر انگشت ICS ردیابی می کند. با این حال، هیچ اطلاعاتی در مورد اینکه چه تعداد در برابر حملات مداوم ایمن شده‌اند یا چه تعداد از هانی‌پات‌ها برای شناسایی فعالیت‌های مخرب طراحی شده‌اند، وجود ندارد.

روز سه‌شنبه، CISA همچنین CVE-2026-104935 را به فهرست نقص‌های امنیتی خود که به طور فعال مورد بهره‌برداری قرار گرفته‌اند اضافه کرد و به آژانس‌های فدرال دستور داد تا شبکه‌های خود را در برابر حملات تا روز جمعه ایمن کنند، همانطور که دستورالعمل عملیاتی الزام آور ژوئن 26-04 خود را الزامی کرده است.

در حالی که BOD 26-04 فقط برای آژانس‌های شعبه اجرایی غیرنظامی فدرال (FCEB) اعمال می‌شود، آژانس امنیت سایبری نیز توصیه‌ای جداگانه صادر کرد و از همه تیم‌های امنیتی و مدافعان شبکه خواست فورا این آسیب‌پذیری را اصلاح کنند و شواهدی مبنی بر مصالحه را بررسی کنند.

"CISA از عاملان تهدید سایبری که از این آسیب‌پذیری دور زدن احراز هویت روز صفر سوء استفاده می‌کنند آگاه است، که به اجرای دستورات خودسرانه و غیرقانونی از راه دور اجازه می‌دهد تا اطلاعات اعتبار و سرقت اطلاعات را انجام دهند.

"سازمان هایی که به دنبال تعیین اینکه آیا به خطر افتاده اند، باید تحقیقات قانونی شبکه و حافظه را برای شناسایی شواهد بهره برداری انجام دهند."

CISA به مدافعان توصیه کرد در صورت کشف دستگاه‌های Ivanti ICS در معرض خطر، اقدامات زیر را انجام دهند:

ایوانتی چندین روز صفر دیگر Connect Secure را که در چند سال گذشته در طبیعت مورد سوء استفاده قرار گرفته بودند، از جمله یک بای پس احراز هویت (CVE-2023-46805) و یک تزریق فرمان (CVE-2024-21887) در اوایل ژانویه 2024، و یک درخواست سمت سرور جعل دو هفته بعد، VE21-20924 (دو هفته بعد از آن) مورد استفاده قرار داد.

اخیرا، یک نقص اجرای کد از راه دور (RCE) (CVE-2025-0282) را در ژانویه 2025 و یک آسیب‌پذیری RCE دیگر (CVE-2025-22457) که جاسوسان سایبری مرتبط با چین حداقل از اواسط مارس 2025 از آن سوء استفاده کرده‌اند را اصلاح کرد.

CISA از نوامبر 2021، 36 آسیب پذیری Ivanti را به لیست مسائل امنیتی مورد سوء استفاده فعال خود اضافه کرده است که 12 مورد از آنها نیز در حملات باج افزار مورد سوء استفاده قرار گرفته اند.

به میکو هیپونن و رهبران امنیتی NFL، CHANEL و Atlassian بپیوندید تا در یک نشست دیجیتالی دو ساعته در مورد اینکه حملات با سرعت هوش مصنوعی چه تغییراتی می‌کنند، مدافعان چه کارهایی را باید انجام ندهند و چگونه اعتبار، تصمیم‌گیری، اصلاح و تأیید مجدد با سرعت ماشین را انجام دهند، بپیوندید.

ایوانتی هشدار می دهد که Connect Secure روز صفر در حملات مورد سوء استفاده قرار می گیرد

سیسکو در مورد حداکثر شدت ISE صفر روز در حملات هشدار می دهد

وصله های Citrix NetScaler SAML صفر روز که در حملات مورد سوء استفاده قرار می گیرد

Fortinet در مورد نقص حیاتی FortiMail هشدار می دهد که در حملات روز صفر مورد سوء استفاده قرار می گیرد

CISA به بانک‌های مرکزی دستور می‌دهد تا نقص‌های مورد استفاده سیتریکس را تا چهارشنبه اصلاح کنند