یک عامل تهدید (Threat Actor) با بهره‌برداری از زنجیره‌ای از سه آسیب‌پذیری در تجهیزات Ivanti Connect Secure (ICS)، موفق شده است به سازمان‌ها نفوذ کرده، اعتبارنامه‌ها (Credentials) را جمع‌آوری و داده‌های پیکربندی را استخراج کند.
جزئیات زنجیره حمله
بررسی‌ها نشان می‌دهد که این حمله توسط گروه UTA0576 انجام شده و حتی تجهیزات کاملاً به‌روز شده (نسخه 22.8R2.4) را هدف قرار داده است. این زنجیره اکسپلویت شامل سه مرحله کلیدی است:
- دور زدن احراز هویت (Authentication Bypass): در فایل
welcome.cgi. - آسیب‌پذیری نوشتن فایل (File Write): در فایل
wu.cgi. - افزایش سطح دسترسی (Privilege Escalation): در نحوه اعتماد بروکر
dsinvokedبه داده‌های پیکربندیDSCacheکه به مهاجم اجازه می‌دهد دستورات را با دسترسی Root اجرا کند.
چالش‌های شناسایی و مقابله
یکی از نکات بحرانی این حمله، ناکارآمد بودن ابزار Integrity Checker شرکت Ivanti است. از آنجایی که این زنجیره اکسپلویت، کدهای کتابخانه‌ای (Library code) را تنها در حافظه (In-memory) تغییر داده و سپس داده‌های ذخیره پیکربندی را به حالت اول برمی‌گرداند، ابزارهای بررسی یکپارچگی هیچ تغییری روی دیسک شناسایی نمی‌کنند. بنابراین، برای یافتن شواهدی از نفوذ، انجام بررسی‌های فارنزیک (Forensic Investigation) ضروری است.
شرکت Ivanti برای بخش‌های دور زدن احراز هویت و اجرای کد از راه دور (RCE) با شناسه CVE-2026-104935 وصله امنیتی منتشر کرده است، اما همچنان روی رفع آسیب‌پذیری مربوط به افزایش سطح دسترسی کار می‌کند.
آژانس CISA این آسیب‌پذیری را به فهرست آسیب‌پذیری‌های شناخته شده اکسپلویت شده (KEV) اضافه کرده و به سازمان‌های مربوطه دستور داده است تا سریعاً اقدامات لازم برای رفع آن و انجام تحلیل‌های فارنزیک را به اجرا درآورند.
