إن رقّعت Ivanti Connect Secure بعد نشرة 13 أكتوبر فقد تظل معرضاً. فقد رقّعت Ivanti منذئذ ثغرتَي zero-day أخريين ربطهما المهاجمون بتجاوز المصادقة الأصلي، ولا تتضمن إصدارات أكتوبر هذين الإصلاحين. ذكر SecurityWeek في 2 نوفمبر 2026 أن هجمات ربطت الثغرات الثلاث أصابت عدداً محدوداً من العملاء قبل الإفصاح، وأن السلسلة منحت تنفيذ شيفرة بصلاحيات الجذر دون مصادقة على جهاز كان مرقّعاً بالكامل آنذاك. يسرد هذا الدليل الثغرات الثلاث والإصدارات المطلوبة وخطوات التنظيف. الوقائع من المصادر المرتبطة وقد قُرئت في 9 نوفمبر 2026.
الثغرات الثلاث والإصدارات المطلوبة
| CVE | ما هي | الخطورة | في KEV لدى CISA |
|---|---|---|---|
| CVE-2026-104935 | تجاوز المصادقة في Connect Secure | أُعلنت 13 أكتوبر 2026 | 13 أكتوبر 2026 |
| CVE-2026-111357 | غياب المصادقة لوظيفة حرجة؛ رفع صلاحيات محلي من مهاجم مصادَق | CVSS 8.8 | 30 أكتوبر 2026؛ موعد اتحادي 2 نوفمبر |
| CVE-2026-118527 | معرّفات قابلة للتنبؤ؛ يمكن لمهاجم بعيد مصادَق رفع ملفات إلى موقع معروف على القرص | CVSS 4.3 | 30 أكتوبر 2026؛ موعد اتحادي 13 نوفمبر |
تؤثر المشكلتان الأحدث في Connect Secure 25.1.1.2 وما قبله و22.8R2.5 وما قبله، وأُصلحتا في 25.1.1.3 و22.8R2.6. وكانت الإصدارات السابقة 25.1.1.2 و22.8R2.5 هي التي أصلحت CVE-2026-104935 الأصلية، فعلى المؤسسات التي ثبّتتها في أكتوبر الترقية مجدداً. وتقول Ivanti إن أحدث إصدار يعالج كل الثغرات التي رُبطت واستُغلت فعلياً (SecurityWeek، كتالوج KEV لدى CISA).
إن كنت على فرع إصدارات آخر مثل 25.1.2.x فلا تفترض انطباق أرقام الإصدارات نفسها. راجع نشرة Ivanti لفرعك ولأي إصدار يغطي الثغرات الثلاث.
كيف عمل الهجوم
اكتشفت Volexity الاستغلال أثناء التحقيق في حادثة لدى أحد عملائها وتنسبه إلى جهة غير معروفة سابقاً تتتبعها باسم UTA0576، وتقدّر بثقة منخفضة أن دافعها إجرامي لا تجسسي. رأت أولى العلامات في 3 أكتوبر 2026، وأفادت شركة استخبارات التهديدات Defused بإصابات في طُعومها منذ 1 أكتوبر، قبل أن تُعلن الثغرة. وبربط الثغرات الثلاث حصل المهاجمون على تنفيذ شيفرة بصلاحيات الجذر دون مصادقة. وركّزوا على سرقة بيانات الاعتماد وتسريب البيانات ومسح الشبكة والعبث بالسجلات (SecurityWeek).
تقول Ivanti إنها اكتشفت الهجمات بينما كان إصلاحها لـ CVE-2026-104935 في مرحلة ضمان الجودة، فأصدرته دون انتظار لأنه يغلق الطريق الرئيسي. وكان برنامجها قد وجد جزءاً من الثغرة وأصلحه في 25.1.3.0 في يوليو، بينما كان الإصلاح لا يزال في طريقه إلى الإصدارات المدعومة الأخرى.
ماذا تفعل
- افحص إصدارك اليوم. اقرأ الإصدار في لوحة إدارة الجهاز. 25.1.1.2 أو 22.8R2.5 لا يكفي.
- رقِّ إلى 25.1.1.3 أو 22.8R2.6 (أو الإصدار الذي تذكره Ivanti لفرعك).
- افترض أن بيانات الاعتماد التي مرّت عبر الجهاز قد تكون مكشوفة. سرق المهاجمون بيانات اعتماد، فدوّر كلمات المرور ومفاتيح API والشهادات التي حملها VPN أو صادق عليها، بدءاً بالمسؤولين وحسابات الخدمة.
- ابحث عن الاختراق قبل الترقيع وبعده. ابحث عن ملفات غير معروفة وحسابات جديدة ومسح داخلي غير معتاد من عنوان الجهاز وفجوات أو تعديلات في السجلات. ولأن المهاجمين عبثوا بالسجلات فغياب الدليل دليل ضعيف. ولا تعتمد على أداة فحص السلامة لدى المورد وحدها؛ إذ تفيد التقارير بأنها قد تفوّت هذا النشاط.
- إن وجدت علامات اختراق فاحفظ السجلات والذاكرة أولاً، ثم أعد بناء الجهاز من حالة سليمة معروفة واتبع إرشادات الاسترداد لدى Ivanti وCISA.
- قلّل التعرض. قيّد واجهة الإدارة بشبكة خاصة وضع بوابة VPN تحت المراقبة.
هذا الدرس نفسه في حوادث أجهزة الحافة الأخرى هذا الخريف: الترقيع ليس النهاية، بل دوّر أيضاً ما رآه الجهاز. راجع ثغرات Citrix NetScaler: دوّر الأسرار بعد الترقيع، ولثغرة جدار VPN أخرى أُصلحت هذا الأسبوع اقرأ دليل SonicWall CVE-2026-19868.
الأسئلة الشائعة
ثبّتُّ 25.1.1.2. هل أُصلحتُ؟ لا. ذلك الإصدار أصلح CVE-2026-104935 الأصلية فقط. تحتاج 25.1.1.3 للثغرتين الأحدث.
هل استُغل أي منها؟ نعم. الثغرات الثلاث في كتالوج KEV لدى CISA ورُبطت في هجمات أصابت عدداً محدوداً من العملاء.
هل أعيد تعيين كلمات المرور بعد الترقيع؟ إن كان الجهاز مكشوفاً فاعتبر بيانات الاعتماد التي عالجها مسروقة احتمالاً ودوّرها.
من وراء الهجمات؟ تتتبع Volexity الجهة باسم UTA0576 وتقدّر بثقة منخفضة أن دافعها إجرامي.
