آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) روز جمعه دو آسیب‌پذیری امنیتی جدید که محصولات Ivanti Connect Secure (ICS) را تحت تأثیر قرار می‌دهند، به دلیل مشاهده بهره‌برداری فعال (Active Exploitation) در محیط‌های واقعی، به فهرست آسیب‌پذیری‌های شناخته‌شده و مورد بهره‌برداری (KEV) خود اضافه کرد.
این باگ‌های امنیتی بخشی از یک زنجیره اکسپلویت (Exploit Chain) هستند که اولین بار توسط Volexity در اوایل این ماه مستند شدند. این زنجیره با یک آسیب‌پذیری دور زدن احراز هویت (Authentication Bypass) با شناسه CVE-2026-104935 و امتیاز CVSS 8.6 ترکیب شده است. این فعالیت‌ها توسط یک عامل تهدید (Threat Actor) ناشناخته با نام UTA0576 انجام می‌شود.
طبق گزارش Volexity، این زنجیره اکسپلویت با ترکیب سه مورد دور زدن احراز هویت (Authentication Bypass)، اجرای کد از راه دور (RCE) و افزایش سطح دسترسی (Privilege Escalation)، امکان اجرای کد در سطح روت (Root) را بدون نیاز به احراز هویت فراهم می‌کند.
برخلاف حملات معمول که از این آسیب‌پذیری‌ها برای نصب وب‌شل (Web Shell) یا بدافزار استفاده می‌کنند، مشاهده شده است که UTA0576 از این حفره‌ها برای موارد زیر بهره‌برداری می‌کند:
- استخراج اعتبارنامه‌ها (Credentials) و متادیتای محدود از Active Directory.
- شناسایی و رصد میزبان‌ها (Host Reconnaissance).
- جستجو برای رمزهای عبور مدیران (Administrator Passwords) و کلیدهای بازیابی BitLocker.
شرکت Ivanti اعلام کرده است که وصله‌های امنیتی (Patches) برای آسیب‌پذیری‌های CVE-2026-111357 و CVE-2026-118527 در نسخه‌های جدید ICS در دسترس هستند. سازمان‌های دولتی موظف شده‌اند تا مهلت‌های تعیین شده در ماه نوامبر، این وصله‌ها را اعمال کنند.
