سازمان امنیت سایبری و زیرساخت ایالات متحده (CISA) در روز سه‌شنبه نسبت به یک آسیب‌پذیری جدید در ابزار VPN شرکت Ivanti هشدار داد. این سازمان به تمامی آژانس‌های غیرنظامی فدرال دستور داد تا حداکثر تا روز جمعه، آسیب‌پذیری CVE-2026-104935 را در محصول Connect Secure برطرف کنند.
جزئیات آسیب‌پذیری Ivanti
این باگ دارای امتیاز شدت 8.6 از 10 است و شرکت Ivanti تایید کرده است که در دنیای واقعی مورد سوءاستفاده قرار گرفته است. کارشناسان شرکت Volexity که این آسیب‌پذیری را پیش از گزارش به Ivanti کشف کرده بودند، جزئیات گسترده‌ای از فعالیت‌های مخرب را منتشر کردند.
- نوع حمله: اجرای دستورات دلخواه به صورت از راه دور و بدون نیاز به احراز هویت (Remote Unauthenticated Command Execution).
- اهداف عامل تهدید: سرقت اعتبارنامه‌ها (Credential Theft)، استخراج داده‌ها (Data Exfiltration)، دستکاری لاگ‌ها و شناسایی شبکه.
- وضعیت: Volexity سه اکسپلویت زیرو دِی (Zero-Day) را شناسایی کرد که دو مورد از آن‌ها توسط Ivanti وصله شده و مورد سوم در دست بررسی است.
محصولات Ivanti به دلیل استفاده گسترده توسط دولت‌ها در سطح جهان، همواره هدف حملات عوامل دولتی (Nation-State Actors) بوده‌اند و این ششمین آسیب‌پذیری این شرکت است که در سال 2026 به لیست باگ‌های مورد سوءاستفاده CISA اضافه می‌شود.
رکوردشکنی مایکروسافت در Patch Tuesday
همزمان با هشدار Ivanti، سازمان CISA درباره یک آسیب‌پذیری جدید در مایکروسافت با شناسه CVE-2026-96951 هشدار داد. این باگ که مربوط به دور زدن ویژگی‌های امنیتی Windows Shell است، امتیاز شدت 8.8 را دارد و آژانس‌های فدرال تا روز جمعه برای وصله کردن آن فرصت دارند.
مایکروسافت اعلام کرد که مهاجم می‌تواند با ارسال یک فایل دستکاری شده، کاربر را ترغیب به کلیک بر روی لینک یا باز کردن پیوست مخرب کند تا آسیب‌پذیری فعال شود.
این مورد تنها یکی از بیش از 1,400 باگی بود که در به‌روزرسانی اکتبر مایکروسافت (Patch Tuesday) رفع شدند. این تعداد (1,407 مورد) یک رکورد جدید برای یک ماه محسوب می‌شود و حتی از رکورد سال 2020 که 1,261 مورد بود، فراتر رفته است.
