שחקן שנקרא UTA0576 שרשר שלוש פגיעויות ב-Ivanti Connect Secure והגיע להרצת קוד ברמת root ללא אימות, כך לפי חברת Volexity. ב-30 באוקטובר הוסיפה CISA לקטלוג הפגיעויות המנוצלות (KEV) שתיים מהן. אם יש לך שער VPN כזה חשוף לאינטרנט, זה הזמן לבדוק את הגרסה.
נתוני הפגיעויות
| מזהה | סוג | CVSS | סטטוס |
|---|---|---|---|
| CVE-2026-104935 | עקיפת אימות | 8.6 | ב-KEV מ-13 באוקטובר; גרסאות מתוקנות לא פורסמו בכתבה |
| CVE-2026-111357 | העלאת הרשאות מקומית (חסר אימות לפונקציה קריטית) | 8.8 | ב-KEV מ-30 באוקטובר; תוקן ב-25.1.1.3 וב-22.8R2.6 |
| CVE-2026-118527 | העלאת קבצים על ידי משתמש מאומת למיקום ידוע בדיסק | 4.3 | ב-KEV מ-30 באוקטובר; תוקן ב-25.1.1.3 וב-22.8R2.6 |
מה קרה
לפי הדיווח, התוקף חיבר עקיפת אימות, הרצת קוד והעלאת הרשאות לשרשרת אחת. לאחר מכן הוא חילץ אישורים ומטא-דאטה מוגבל של Active Directory, ביצע סיור במארח וחיפש סיסמאות מנהל ומפתחות שחזור של BitLocker. הכתבה מציינת שלא נעשה שימוש ב-web shell או בתוכנה זדונית קלאסית.
Ivanti מסרה שתיקנה חלק מ-CVE-2026-104935 בגרסה 25.1.3.0 מיולי, ושהתיקון המלא היה בבדיקות איכות כשנצפה הניצול. מועדי היעד של CISA לסוכנויות פדרליות: 2 בנובמבר ל-CVE-2026-111357 ו-13 בנובמבר ל-CVE-2026-118527.
נקודות לשים לב
- עדכן ל-25.1.1.3 או ל-22.8R2.6 לפחות, וקרא את ה-advisory של Ivanti ל-CVE-2026-104935 כדי לבדוק אם התיקון הרלוונטי כבר זמין לגרסה שלך.
- שרשרת כזו מסוכנת גם אם אחת החוליות בציון נמוך: CVSS 4.3 לא אומר שאפשר לדחות את העדכון.
- הניצול לא השאיר web shell, ולכן סריקה של קבצים חשודים לא תספיק. בדוק גישות חריגות לחשבונות מנהל ול-Active Directory, ושקול להחליף סיסמאות ומפתחות שחזור שיכלו להיחשף.
- הכתבה אינה מפרסמת IoC. חפש אותם בדוח המקורי של Volexity.
מקורות: The Hacker News · CISA · Ivanti
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
