بحسب تدوينة نشرتها Volexity في 13 أكتوبر 2026، استغل فاعل تهديد لم يكن معروفاً من قبل، تتبعه الشركة باسم UTA0576، سلسلة من ثلاث ثغرات يوم صفر (Zero-Day) في أجهزة الشبكة الخاصة الافتراضية (VPN) Ivanti Connect Secure، للوصول إلى تنفيذ أوامر بصلاحيات الجذر (root) دون مصادقة. وقالت الشركة إن الجهاز الذي اكتشفت اختراقه كان محدثاً بالكامل وقت الهجوم، بإصدار 22.8R2.4.
وتجمع السلسلة ثلاث حلقات، بحسب Volexity، وهي تجاوز للمصادقة في صفحة الدخول يتيح توجيه الطلبات إلى ملفات محمية، وثغرة كتابة ملفات تتيح تنفيذ شيفرة، ثم ثغرة رفع صلاحيات تمنح المهاجم صلاحيات الجذر. وتقول Volexity إن Ivanti تتبع الحلقتين الأوليين، تجاوز المصادقة وتنفيذ الأوامر، تحت المعرف (CVE-2026-104935 بتقييم CVSS عند 8.6)، وتصنفه Ivanti في نشرتها الأمنية كثغرة عالية الخطورة.
وتشمل الإصدارات المتأثرة 25.1.1.1 وما قبله، و25.1.2.2 وما قبله، و22.8R2.4 وما قبله، بحسب Ivanti. أما الإصدارات التي تعالج الثغرة فهي 25.1.1.2 الصادر في 5 أكتوبر، و22.8R2.5 الصادر في 12 أكتوبر، و25.1.3.0 و25.1.3.1، بينما لا يتأثر الإصدار 22.7R2.14 وما قبله. وقالت الشركة إنها اكتشفت جزءاً من الثغرة عبر برنامجها لأمن المنتجات وأصلحته في الإصدار 25.1.3.0 الصادر في يوليو 2026، وكانت تعمل على نقل الإصلاح إلى الإصدارات الأخرى حين بدأ الاستغلال.
وبدأ الاستغلال في 3 أكتوبر، بحسب Volexity، التي بدأت التحقيق في 5 أكتوبر بعد اشتباهها بنشاط خبيث لدى أحد عملائها لخدمة مراقبة أمن الشبكات. وأقرت Ivanti بأن الاستغلال طال عدداً محدوداً من العملاء وقت الإفصاح، ولم تحدد عددهم.
وبعد الدخول، استخرج المهاجم بيانات اعتماد مخزنة على الجهاز، منها بيانات حساب يستخدمه الجهاز مع بروتوكول LDAP، واستعلم عن دليل Active Directory بحثاً عن كلمات مرور المسؤول المحلي (LAPS) ومفاتيح استرداد BitLocker، ونفذ هجمات رش كلمات المرور. ولم تعثر Volexity على باب خلفي أو واجهة ويب خبيثة، إذ مرر المهاجم الأوامر ونتائجها عبر طلبات HTTPS الخاصة بالاستغلال نفسه.
وتقدر Volexity بثقة عالية أن تحركات المهاجم كانت تمهيداً لتحرك جانبي داخل شبكة الضحية، وبثقة منخفضة أن دوافعه إجرامية لا تجسسية، وبثقة متوسطة أنه يستعين بنماذج لغوية كبيرة في تطوير الاستغلال وما بعده.
وتقول Volexity إن أداة Integrity Checker التي تنشرها Ivanti لا ترصد هذه السلسلة، لأن الاستغلال يعدل مكتبة الجهاز في الذاكرة فقط ويعيد بيانات الإعدادات إلى حالتها، وإن المهاجم حذف أثره من سجلات التصحيح وسجلات التدقيق في Linux. ولذلك توصي بتحليل الشبكة والذاكرة لأي جهاز يشتبه باختراقه، ومراقبة الطلبات الكثيرة إلى صفحة الدخول التي لا يطابق فيها مسار الرابط الترويسة المرافقة.
ولم تعلن Ivanti موعداً محدداً لإصلاح ثغرة رفع الصلاحيات، إذ تقول Volexity إنه سيصدر في إصدار مقبل خلال الأسابيع القادمة، ولا تذكر نشرة Ivanti حلاً مؤقتاً. وأضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) الثغرة CVE-2026-104935 إلى فهرس الثغرات المستغلة فعلياً في 13 أكتوبر، وحددت 16 أكتوبر موعداً نهائياً.
وتنصح Ivanti عملاء الفرعين 22.7 و22.8 بالانتقال إلى الفرع 25.1 قبل 31 يناير 2027، موعد انتهاء دعمهما.
