Ivanti یک روز صفر پس از تأیید حملات درون وحشی توسط محققان، Connect Secure را اصلاح می‌کند

پس از سوء استفاده مهاجمان از آسیب‌پذیری روز صفر که اخیرا فاش شده است، از مشتریان Ivanti خواسته می‌شود که Connect Secure را به‌روزرسانی کنند و خطر را بررسی کنند. روز سه‌شنبه، ایوانتی به‌روزرسانی‌هایی را برای Connect Secure (ICS) برای رفع CVE-2026-104935، یک نقص دور زدن احراز هویت که توسط Volexity کشف شد، منتشر کرد. با امتیاز 8.6 در مقیاس CVSS، به مهاجمان از راه دور و احراز هویت نشده اجازه می دهد تا دستورات دلخواه را اجرا کنند. فروشنده در مشاوره خود گفت: "ما از بهره برداری در طبیعت که بر تعداد محدودی از مشتریان در زمان افشا تاثیر می گذارد آگاه هستیم."

در حال حاضر شاخص‌های محدودی از مصالحه موجود است و به مشتریان توصیه می‌کند برای اطلاعات بیشتر به گزارش Volexity در مورد یافته‌ها مراجعه کنند و ابزار Ivanti Integrity Checker را به طور منظم اجرا کنند. Ivanti نسخه‌های تحت تأثیر را در شاخه‌های زیر فهرست می‌کند: 25.1.1.1 و نسخه‌های قبلی 25.1.2.2 و نسخه‌های قبلی 22.8R2.4 و قبل از آن. فروشنده گفت که قبلا «بخشی از این آسیب‌پذیری» را شناسایی کرده و آن را در ژوئیه 25.1.3.0 اصلاح کرده است، و با این حال، از همان زمان به‌روزرسانی حمله‌های backport را برطرف کرده است، اما از همان زمان شروع به کار بر روی حمله backport بود. کامل

Volexity گفت که مهاجمان پشت نفوذهای اخیر قبلا برای محققان آن ناشناخته بودند، اما اکنون با نام UTA0576 ردیابی می شوند. انگیزه جنایی به جای جاسوسی توسط Volexity مشکوک است. بر اساس فعالیت‌های مشاهده شده پس از بهره‌برداری، به نظر می‌رسد که مهاجمان بیشترین علاقه را به استفاده از دسترسی جدید خود برای سرقت اعتبار، استخراج داده‌ها، دستکاری گزارش‌ها و شناسایی شبکه دارند. قابل ذکر است، مهاجمان هیچ بدافزاری را مستقر نکرده و پوسته‌های وب را اجرا نکرده و تنها از دستورات موجود در دستگاه ICS استفاده می‌کنند.

ولکسیتی گفت: «از آنجایی که عملیات شناسایی و مختل شد، اهداف نهایی عامل تهدید مشخص نشد. با این حال، Volexity با اطمینان بالا ارزیابی می کند که اقدامات UTA0576 نشانه آمادگی برای حرکت جانبی و سازش گسترده تر شبکه قربانی است. محققان همچنین گمان می‌برند که مهاجمان از مدل‌های زبان بزرگ برای حمایت از تلاش‌های خود استفاده می‌کردند.

Volexity به استفاده مکرر مهاجمان از کانال اکسپلویت برای اجرای دستورات به جای استقرار پوسته های وب و استفاده آنها از "اسکریپت های بسیار خاص با استفاده از اعتبارنامه هاردکد" اشاره کرد. ایوانتی یک CVE را فاش کرد، اما Volexity یک زنجیره حمله شامل سه آسیب‌پذیری را توصیف کرد. به روز رسانی های روز سه شنبه به مراحل دور زدن احراز هویت و اجرای کد از راه دور می پردازد. سومین آسیب‌پذیری، که امکان افزایش امتیاز را فراهم می‌کند، جدا از نقص‌های CVE-2026-104935 است.

Volexity گفت ایوانتی از باگ اضافی آگاه است و قصد دارد "در هفته های آینده" یک اصلاح را منتشر کند. افشای روز صفر در این هفته، سومین سال متوالی است که ایوانتی مجبور به مقابله با مهاجمانی است که از نقص‌های فاش نشده در Connect Secure سوء استفاده می‌کنند. روزهای صفر قبلی ICS در ژانویه 2025 فاش شد، یک سال پس از آسیب‌پذیری‌های ژانویه 2024 که منجر به سوءاستفاده‌هایی شد که هزاران دستگاه ICS را تحت تأثیر قرار داد. در این میان، گروه‌های مظنون جاسوسی چینی را نیز مشاهده کرده‌ایم که از اشکالات در Endpoint Manager Mobile (EPMM) و نقص‌های مهم در Sentry سوء استفاده می‌کنند.

اجرای روزهای صفر ژانویه ایوانتی در اوایل سال جاری ادامه یافت، اگرچه این نقص ها به جای Connect Secure بر EPMM تأثیر گذاشت. ®