وصلهٔ دوباره Ivanti Connect Secure: سه zero-day زنجیره شد، به 25.1.1.3 یا 22.8R2.6 نیاز دارید

اگر Ivanti Connect Secure را پس از توصیه‌نامهٔ ۱۳ اکتبر وصله کرده‌اید، شاید هنوز در معرض باشید. Ivanti از آن زمان دو zero-day دیگر را وصله کرده که مهاجمان با دور زدن اصلی احراز هویت زنجیره کردند و بیلدهای اکتبر این اصلاح‌ها را ندارند. SecurityWeek در ۲ نوامبر ۲۰۲۶ گزارش داد حمله‌هایی که هر سه نقص را زنجیره کردند پیش از افشا تعداد محدودی مشتری را زده‌اند و زنجیره روی دستگاهی که آن زمان کاملاً وصله‌شده بود اجرای کد ریشه بدون احراز هویت داد. این راهنما سه CVE، بیلدهای لازم و گام‌های پاکسازی را فهرست می‌کند. واقعیت‌ها از منابع لینک‌شده‌اند و ۹ نوامبر ۲۰۲۶ خوانده شدند.

سه نقص و بیلدهای لازم

دو مسئلهٔ جدیدتر Connect Secure ‏25.1.1.2 و قدیمی‌تر و 22.8R2.5 و قدیمی‌تر را درگیر می‌کنند و در 25.1.1.3 و 22.8R2.6 اصلاح شده‌اند. آن نسخه‌های قبلی یعنی 25.1.1.2 و 22.8R2.5 همان بیلدهایی بودند که CVE-2026-104935 اولیه را اصلاح کردند، پس سازمان‌هایی که در اکتبر نصب‌شان کردند باید دوباره ارتقا دهند. Ivanti می‌گوید آخرین نسخه همهٔ آسیب‌پذیری‌های زنجیره‌شده و سوءاستفاده‌شده در طبیعت را اصلاح می‌کند (SecurityWeek، فهرست KEV ‏CISA).

اگر شاخهٔ انتشار دیگری دارید، مثل 25.1.2.x، فرض نکنید همین شمارهٔ نسخه‌ها صدق می‌کند. توصیه‌نامهٔ Ivanti را برای شاخهٔ خود و اینکه کدام بیلد هر سه CVE را می‌پوشاند بررسی کنید.

حمله چطور کار کرد

Volexity بهره‌برداری را هنگام بررسی یک رخداد در یکی از مشتریانش کشف کرد و آن را به بازیگری ناشناخته که UTA0576 می‌نامد نسبت می‌دهد و با اطمینان کم ارزیابی می‌کند انگیزهٔ مجرمانه دارد، نه جاسوسی. اولین نشانه‌ها را ۳ اکتبر ۲۰۲۶ دید؛ شرکت اطلاعات تهدید Defused از ضربه به طعمه‌هایش از ۱ اکتبر خبر داد، پیش از علنی شدن آسیب‌پذیری. مهاجمان با زنجیره‌کردن سه نقص به اجرای کد با امتیاز ریشه بدون احراز هویت رسیدند. تمرکزشان بر دزدی اعتبارنامه، استخراج داده، پویش شبکه و دستکاری لاگ بود (SecurityWeek).

Ivanti می‌گوید حمله‌ها را وقتی یافت که اصلاح CVE-2026-104935 در مرحلهٔ تضمین کیفیت بود و آن را بدون انتظار منتشر کرد چون مسیر اصلی را می‌بست. بخشی از آسیب‌پذیری را برنامهٔ خودش یافته و در ژوئیه در 25.1.3.0 اصلاح کرده بود، در حالی که اصلاح هنوز به نسخه‌های دیگر پشتیبانی‌شده می‌رسید.

چه باید کرد

1. همین امروز بیلد را ببینید. در پنل مدیریت دستگاه نسخه را بخوانید. 25.1.1.2 یا 22.8R2.5 کافی نیست.
2. به 25.1.1.3 یا 22.8R2.6 (یا بیلدی که Ivanti برای شاخهٔ شما فهرست کرده) ارتقا دهید.
3. فرض کنید اعتبارنامه‌هایی که از دستگاه گذشته‌اند ممکن است فاش شده باشند. مهاجمان اعتبارنامه دزدیدند، پس رمزها، کلیدهای API و گواهی‌هایی که VPN نگه داشته یا احراز کرده را بچرخانید، با مدیران و حساب‌های سرویس شروع کنید.
4. پیش و پس از وصله دنبال نفوذ بگردید. فایل‌های ناشناس، حساب‌های جدید، پویش غیرعادی داخلی از آدرس دستگاه و شکاف یا ویرایش در لاگ‌ها را ببینید. چون مهاجمان لاگ را دستکاری کردند، نبودِ مدرک مدرک ضعیفی است. فقط به ابزار بررسی یکپارچگی فروشنده تکیه نکنید؛ گزارش‌ها می‌گویند ممکن است این فعالیت را از دست بدهد.
5. اگر نشانهٔ نفوذ یافتید، اول لاگ و حافظه را ذخیره کنید، بعد دستگاه را از حالت سالم شناخته‌شده بازسازی کنید و رهنمود بازیابی Ivanti و CISA را دنبال کنید.
6. مواجهه را کم کنید. رابط مدیریت را به شبکهٔ خصوصی محدود کنید و پورتال VPN را زیر پایش ببرید.

این همان درس دیگر رخدادهای دستگاه لبه در این پاییز است: وصله پایان کار نیست، باید آنچه دستگاه دیده را هم چرخاند. zero-dayهای Citrix NetScaler: پس از وصله اسرار را بچرخانید را ببینید و برای باگ فایروال VPN دیگری که همین هفته اصلاح شد راهنمای SonicWall CVE-2026-19868 را بخوانید.

پرسش‌های متداول

من 25.1.1.2 نصب کرده‌ام. اصلاح شده‌ام؟ خیر. آن بیلد فقط CVE-2026-104935 اولیه را اصلاح کرد. برای دو نقص جدیدتر 25.1.1.3 لازم است.

آیا چیزی از این سوءاستفاده شده؟ بله. هر سه CVE در فهرست KEV ‏CISA هستند و در حمله‌هایی زنجیره شدند که تعداد محدودی مشتری را زد.

آیا پس از وصله باید رمزها را بازنشانی کنم؟ اگر دستگاه در معرض بود، اعتبارنامه‌هایی که پردازش کرده را بالقوه دزدیده‌شده بدانید و بچرخانید.

چه کسی پشت حمله‌هاست؟ Volexity بازیگر را UTA0576 می‌نامد و با اطمینان کم ارزیابی می‌کند انگیزهٔ مجرمانه دارد.