חוקרי Volexity גילו תקיפה על מכשיר Ivanti Connect Secure שבה חוברו שלוש פגיעויות zero-day להרצת פקודות כ-root ללא אימות. שתיים מהן תוקנו; פגיעות העלאת ההרשאות האחרונה עדיין ממתינה לתיקון.
מה קרה
לפי הדיווח, עקיפת אימות והרצת קוד מרחוק (CVE-2026-104935, CVSS 8.6) מאפשרות הרצה בהרשאות המשתמש cgi-server, ופגיעות נוספת, ללא CVE שפורסם, מעלה הרשאות ל-root. התוקף, שמזוהה כ-UTA0576, החל לפעול ב-3 באוקטובר, גנב אישורים שמורים כולל אישורי LDAP, חיפש סיסמאות ב-Active Directory וביצע password spraying. לא נמצאו דלת אחורית או web shell. Volexity מעריכה ברמת ביטחון נמוכה שהמניע פלילי. Ivanti מאשרת ניצול מוגבל בפועל. היקף הקורבנות לא פורסם.
| מזהה | CVE-2026-104935 (השתיים האחרות: לא פורסם) |
| מוצר | Ivanti Connect Secure — לפי רשומת ה-CVE, גרסאות לפני 25.1.3.0 |
| חומרה | CVSS 8.6 ל-CVE-2026-104935 |
| מנוצל בפועל | כן, ניצול מוגבל לפי Ivanti |
| סטטוס תיקון | שתיים תוקנו; העלאת ההרשאות צפויה "בשבועות הקרובים" |
נקודות לשים לב
- שדרג לגרסה מתוקנת (25.1.3.0 ומעלה לפי רשומת ה-CVE). הכתבה מציינת אי-התאמה: המכשיר שנפרץ היה 22.8R2.4 ותואר כמעודכן, לכן אמת את הגרסה המדויקת מול ה-advisory של Ivanti.
- אל תסתמך על Integrity Checker Tool: לפי Volexity הוא מחמיץ את השרשרת. אישור פריצה דורש חקירת רשת וזיכרון.
- חפש בלוגים בקשות רבות ל-
/dana-na/auth/url_default/welcome.cgiעם כותרתX-DSCGI-PATHשאינה תואמת לנתיב, את התיקייה/data/.icscap/ואת הכתובת 108.165.147[.]64. - לא פורסם workaround זמני; אם חשדת בפריצה, החלף אישורים שנשמרו במכשיר, כולל חשבונות LDAP.
מקורות: The Hacker News · Volexity · Ivanti
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
