زنجیره‌کردن سه نقص Ivanti Connect Secure برای دسترسی روت بدون احراز هویت؛ CISA دو آسیب‌پذیری دیگر را به KEV افزود
اخبار داغ فناوری اطلاعات و امنیت شبکهگروه ناشناس UTA0576 به‌جای وب‌شل و بدافزار، به‌دنبال اعتبارنامه و کلیدهای بازیابی BitLocker است
سازمان CISA در روز جمعه، دو آسیب‌پذیری امنیتی دیگر در Ivanti Connect Secure (ICS) را که در حملات واقعی مورد بهره‌برداری قرار گرفته‌اند، به فهرست آسیب‌پذیری‌های شناخته‌شده مورد بهره‌برداری (KEV) افزود.
دو آسیب‌پذیری تازه‌افزوده‌شده
- CVE-2026-111357 (امتیاز CVSS: ۸.۸): نقص نبود احراز هویت برای یک تابع حیاتی که می‌تواند به یک مهاجم محلی احراز هویت‌شده اجازه دهد سطح دسترسی خود را افزایش دهد.
- CVE-2026-118527 (امتیاز CVSS: ۴.۳): نقص تولید اعداد یا شناسه‌های قابل‌پیش‌بینی که می‌تواند به یک مهاجم راه‌دور احراز هویت‌شده اجازه دهد فایل‌هایی با محتوای تحت کنترل خودش را در یک مسیر شناخته‌شده روی دیسک بارگذاری کند.
زنجیره سه‌گانه: از دور زدن احراز هویت تا دسترسی روت
این دو نقص، بخشی از یک زنجیره بهره‌برداری هستند که پیش‌تر در همین ماه توسط شرکت Volexity مستندسازی شده بود؛ زنجیره‌ای که با یک نقص دور زدن احراز هویت (CVE-2026-104935، امتیاز ۸.۶) ترکیب شده و توسط یک عامل تهدید پیش‌ازاین مستندنشده با نام UTA0576 به کار رفته است. CVE-2026-104935 در ۱۳ اکتبر ۲۰۲۶ به KEV افزوده شده بود.
Volexity در توصیف این زنجیره گفته آن ترکیبی از یک نقص دور زدن احراز هویت، یک نقص اجرای کد از راه دور (RCE) و یک نقص افزایش سطح دسترسی است که در مجموع به اجرای کد در سطح روت بدون احراز هویت منجر می‌شود.
هدف مهاجم: اعتبارنامه، نه بدافزار
برخلاف بسیاری از حملات مشابه که از چنین نقص‌هایی برای استقرار وب‌شل یا بدافزار استفاده می‌کنند، UTA0576 به‌جای آن:
- اعتبارنامه‌ها و متادیتای محدودی از Active Directory را استخراج می‌کند؛
- شناسایی میزبان انجام می‌دهد؛
- به‌دنبال رمزهای عبور مدیران و کلیدهای بازیابی BitLocker می‌گردد.
وصله‌ها: نسخه‌های اصلاح‌شده
ایوانتی در زمان افشای عمومی اعلام کرده بود در حال توسعه وصله برای نقص افزایش سطح دسترسی در این زنجیره است. اکنون وصله هر دو آسیب‌پذیری (CVE-2026-111357 و CVE-2026-118527) در نسخه‌های زیر از ICS در دسترس است:
| نسخه آسیب‌پذیر | نسخه اصلاح‌شده |
|---|---|
| ۲۵.۱.۱.۲ و پیش از آن | ۲۵.۱.۱.۳ |
| ۲۲.۸R2.5 و پیش از آن | ۲۲.۸R2.6 |
توضیح ایوانتی درباره ترتیب وصله‌ها
ایوانتی توضیح داده در زمان کشف بهره‌برداری، وصله نقص دور زدن احراز هویت (CVE-2026-104935) از قبل توسعه یافته و در مرحله کنترل کیفیت (QA) برای نسخه‌های پشتیبانی‌شده بود؛ و این شرکت تصمیم گرفت ارائه آن را به تأخیر نیندازد، چون مسیر اصلی بهره‌برداری را می‌بست. به همین دلیل، تمرکز اولیه بر افشا و ارائه محافظت برای آن نقص بود.
این شرکت همچنین گفته بخشی از آسیب‌پذیری افزایش سطح دسترسی را در جریان برنامه امنیت محصول خود کشف و در نسخه ۲۵.۱.۳.۰ (ژوئیه) رفع کرده بود، و در حال بک‌پورت وصله به سایر نسخه‌های پشتیبانی‌شده بود که فعالیت بهره‌برداری رخ داد. آخرین نسخه، همه آسیب‌پذیری‌های زنجیره‌شده و مورد بهره‌برداری را برطرف می‌کند.
مهلت‌های وصله برای آژانس‌های فدرال آمریکا
آژانس‌های شاخه اجرایی غیرنظامی فدرال (FCEB) موظف‌اند:
| آسیب‌پذیری | مهلت وصله |
|---|---|
| CVE-2026-111357 | ۲ نوامبر ۲۰۲۶ |
| CVE-2026-118527 | ۱۳ نوامبر ۲۰۲۶ |
هرچند این مهلت‌ها رسمی فقط برای آژانس‌های فدرال آمریکا الزام‌آورند، سایر سازمان‌ها نیز با توجه به تأیید بهره‌برداری فعال، باید آن‌ها را معیاری برای اولویت‌بندی وصله بدانند.
چرا این گزارش اهمیت دارد؟
نخست، اهمیت زنجیره: هیچ‌یک از دو نقص تازه‌افزوده‌شده به‌تنهایی «بحرانی» نیستند؛ یکی نیازمند دسترسی محلی احراز هویت‌شده و دیگری امتیاز تنها ۴.۳ دارد. اما در ترکیب با نقص دور زدن احراز هویت، به دسترسی روت بدون احراز هویت منتهی می‌شوند. این مثال خوبی است برای این‌که امتیاز CVSS هر آسیب‌پذیری به‌تنهایی، تصویر کاملی از ریسک واقعی نمی‌دهد.
دوم، هدف مهاجم: تمرکز UTA0576 بر اعتبارنامه‌ها، رمزهای مدیران و کلیدهای بازیابی BitLocker نشان می‌دهد هدف، جمع‌آوری اطلاعات و آماده‌سازی دسترسی‌های بعدی است، نه صرفاً نصب بدافزار. این رویکرد، شناسایی را برای ابزارهای مبتنی بر بدافزار دشوارتر می‌کند.
سوم، جایگاه VPN: Ivanti Connect Secure یک دروازه VPN لبه شبکه است و نفوذ به آن، دسترسی مستقیم به شبکه داخلی و منابع هویتی سازمان را ممکن می‌کند؛ بنابراین یکی از جذاب‌ترین اهداف برای مهاجمان پیشرفته به شمار می‌رود.
توصیه‌های امنیتی
- تمام نمونه‌های Ivanti Connect Secure را فوراً به نسخه ۲۵.۱.۱.۳ یا ۲۲.۸R2.6 (یا جدیدتر) ارتقا دهید؛ این نسخه‌ها هر سه آسیب‌پذیری زنجیره را پوشش می‌دهند.
- اگر پیش‌تر فقط وصله CVE-2026-104935 را اعمال کرده‌اید، نسخه فعلی را دوباره بررسی کنید؛ زنجیره کامل نیاز به وصله دو نقص دیگر نیز دارد.
- اعتبارنامه‌ها، رمزهای عبور مدیران و حساب‌های سرویس ذخیره‌شده یا مورد استفاده روی ICS را، در صورت هرگونه شک به نفوذ، بچرخانید.
- کلیدهای بازیابی BitLocker را در صورت ذخیره‌شدن در محل‌های قابل‌دسترس از ICS یا Active Directory، بازبینی کنید و آن‌هایی را که ممکن است افشا شده باشند، بازتولید کنید.
- لاگ‌ها و گزارش‌های ICS را برای شناسایی فعالیت‌های مشکوک مانند استخراج اعتبارنامه یا کوئری‌های غیرعادی به Active Directory بررسی کنید.
- دسترسی مدیریتی به دروازه VPN را از اینترنت عمومی محدود کنید.
- سازمان‌های غیرفدرال نیز مهلت‌های ۲ و ۱۳ نوامبر را به‌عنوان معیار عملی در نظر بگیرند.
جمع‌بندی
افزوده شدن CVE-2026-111357 و CVE-2026-118527 به فهرست KEV، تصویر زنجیره‌ی بهره‌برداری UTA0576 را تکمیل می‌کند: دور زدن احراز هویت، اجرای کد از راه دور و افزایش سطح دسترسی، با هدف نهایی دسترسی روت بدون احراز هویت و سرقت اعتبارنامه‌ها و کلیدهای بازیابی. ایوانتی اعلام کرده آخرین نسخه‌ها همه حلقه‌های زنجیره را برطرف می‌کنند. برای مدیران شبکه، اقدام فوری شامل ارتقا به ۲۵.۱.۱.۳ یا ۲۲.۸R2.6، چرخاندن اعتبارنامه‌های مرتبط و بازبینی لاگ‌هاست؛ چراکه وصله‌کردن، دسترسی‌های احتمالاً قبلاً سرقت‌شده را بی‌اثر نمی‌کند.
برچسب ها: Bitlocker, UTA0576, امنیت_اطلاعات, امنیت_سایبری, Cyberattack, cybersecurity, حمله سایبری, news