آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) روز جمعه دو نقص امنیتی تأثیرگذار بر Ivanti Connect Secure (ICS) را به فهرست Known Exploited Vulnerabilities (KEV) خود افزود. این اقدام پس از بهره‌برداری فعال در حملات انجام شد.
آسیب‌پذیری‌ها به شرح زیر هستند:
- شناسه CVE-2026-111357 (امتیاز CVSS: 8.8) – نقص «عدم احراز هویت برای یک قابلیت حیاتی» که می‌تواند به یک مهاجم محلیِ دارای احراز هویت امکان ارتقای امتیاز بدهد.
- شناسه CVE-2026-118527 (امتیاز CVSS: 4.3) – نقص «تولید اعداد یا شناسه‌های قابل پیش‌بینی» که می‌تواند به یک مهاجم راه‌دورِ دارای احراز هویت اجازه دهد فایل‌هایی با محتوای تحت‌کنترل مهاجم را در مکانی معلوم روی دیسک بارگذاری کند.
شایان ذکر است این نقص‌های امنیتی بخشی از یک زنجیره اکسپلویت هستند که در اوایل همین ماه توسط شرکت Volexity برای نخستین بار مستندسازی شد و به‌صورت سلاح‌سازی‌شده، همراه با یک نقص دور زدن احراز هویت (CVE-2026-104935، امتیاز CVSS: 8.6) توسط عاملی با نام UTA0576 که پیش‌تر مستندسازی نشده بود به کار گرفته شدند. CVE-2026-104935 در 13 اکتبر 2026 به فهرست KEV افزوده شد.
شرکت Volexity اعلام کرد: «این زنجیره اکسپلویت با ترکیب یک دور زدن احراز هویت، یک اجرای کد از راه دور (RCE) و یک آسیب‌پذیری ارتقای امتیاز، اجرای کد در سطح root را بدون احراز هویت ممکن می‌کند».
برخلاف دیگر حملاتی که معمولاً از چنین نقص‌هایی برای استقرار وب‌شل یا بدافزار سوءاستفاده می‌کنند، مشاهده شده است که UTA0576 از این نقص‌ها برای خروج اعتبارنامه‌ها و بخشی محدود از فراداده‌های Active Directory؛ انجام شناسایی میزبان؛ و جست‌وجو برای گذرواژه‌های مدیر و کلیدهای بازیابی BitLocker استفاده کرده است.
شرکت Ivanti اعلام کرد که هم‌زمان با انتشار این جزئیات، همچنان در حال توسعه پچ برای آسیب‌پذیری ارتقای امتیاز محلی (LPE) بود که در این زنجیره حمله مورد سوءاستفاده قرار گرفته است. اکنون پچ‌های هر دو مورد CVE-2026-111357 و CVE-2026-118527 در نسخه‌های زیر از ICS در دسترس است:
- نسخه 25.1.1.2 و قبل از آن (برطرف‌شده در 25.1.1.3).
- نسخه 22.8R2.5 و قبل از آن (برطرف‌شده در 22.8R2.6).
شرکت Ivanti توضیح داد: «در زمان کشف بهره‌برداری، برای CVE-2026-104935 یک پچ توسعه داده شده بود که برای نسخه‌های پشتیبانی‌شده در مرحله QA قرار داشت و با کشف LPE تصمیم گرفتیم ارائه پچ به مشتریان را که مسیر بهره‌برداری اصلی را برطرف می‌کرد، به تأخیر نیندازیم».
«به همین دلیل، تمرکز اولیه ما بر افشای CVE-2026-104935 و فراهم کردن حفاظت برای مشتریان‌مان در سریع‌ترین زمان ممکن قرار گرفت.»
شرکت همچنین اعلام کرد بخشی از این آسیب‌پذیری را در چارچوب برنامه امنیت محصول خود شناسایی کرده و آن را در انتشار ماه ژوئیه، نسخه 25.1.3.0، پچ کرده است. این شرکت افزود در زمان آغاز فعالیت‌های بهره‌برداری، مشغول انتقال پچ به سایر نسخه‌های پشتیبانی‌شده بوده است.
آخرین انتشار همه آسیب‌پذیری‌هایی را که به‌صورت زنجیره‌ای به‌هم متصل شده و در حملات فعال مورد سوءاستفاده قرار گرفته بودند، برطرف می‌کند. سازمان‌های شاخه اجرایی غیرنظامی دولت فدرال (FCEB) ملزم هستند پچ مربوط به CVE-2026-111357 را تا 2 نوامبر 2026 و پچ مربوط به CVE-2026-118527 را تا 13 نوامبر 2026 اعمال کنند.
