الأمن التقني

سلسلة ثغرات صفرية تمنح مهاجمين صلاحيات جذرية في أجهزة Ivanti VPN

أصدرت شركة Ivanti تحذيراً عاجلاً لعملائها بعد رصد استغلال ثغرة صفرية حرجة في أجهزة VPN الخاصة بها، مكّنت فاعلاً تهديدياً من تنفيذ أكواد خبيثة دون أي مصادقة.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 14 أكتوبر 2026 · آخر تحديث: 14 أكتوبر 2026 · 4 دقائق قراءة

سلسلة ثغرات صفرية تمنح مهاجمين صلاحيات جذرية في أجهزة Ivanti VPN — الصورة: SecurityWeek

تحذير عاجل من Ivanti

أصدرت شركة Ivanti يوم الثلاثاء تحذيراً رسمياً لعملائها، مؤكدةً أن ثغرة صفرية في أجهزة Ivanti Connect Secure (ICS) الخاصة بالوصول عن بُعد (VPN) قد استُغلت فعلياً في بيئات حقيقية. تحمل الثغرة المعرف CVE-2026-104935، وتُصنف بدرجة خطورة عالية، حيث تتيح لمهاجم عن بُعد غير مصادق تجاوز آليات المصادقة وتنفيذ أوامر عشوائية على النظام. وأفادت Ivanti بأنها على علم بأن الاستغلال أثر على عدد محدود من العملاء، مشيرةً إلى أنها تعمل على معالجة الوضع بالتنسيق مع الجهات المعنية. ويمكن الرجوع إلى SecurityWeek للاطلاع على التفاصيل الأصلية للمصدر.

اكتشاف الاستغلال من قبل Volexity

جاء اكتشاف هذا الاستغلال الميداني على يد شركة الأمن السيبراني Volexity، التي رصدت أنماط الهجوم أثناء التحقيق في حادث أمني طرأ لدى أحد عملائها. وكشفت التحقيقات الأولية عن وجود فاعل تهديدي غير موثق سابقاً، تتبّعه فريق Volexity تحت المسمى UTA0576. أظهرت الأدلة أن هذا الفاعل لم يكتفِ باستغلال ثغرة واحدة، بل قام بسلسلة معقدة من ثلاث ثغرات صفرية (Zero-days) متتالية، مما مكنه من الحصول على صلاحيات جذرية (Root) وتنفيذ أكواد دون أي مصادقة، وذلك على أجهزة ICS كانت محدثة بالكامل وتطبيقها لجميع التصحيحات المتاحة.

تفاصيل الثغرات والتحديثات

وفقاً لتحليلات Volexity، يغطي معرف الثغرة CVE-2026-104935 جانبين من المشكلة: ثغرة تجاوز المصادقة وثغرة تنفيذ الأكواد عن بُعد. وقد أصدرت Ivanti تصحيحات لهذه الثغرتين من خلال إطلاق إصدارات محددة من برنامج ICS، وهي الإصدارات 22.8R2.5، و25.1.1.2، و25.1.3.0، و25.1.3.1. ومع ذلك، تبقى الثغرة الثالثة في السلسلة، والتي تتعلق بتصعيد الصلاحيات (Privilege Escalation)، غير مصححة حتى الآن. وأكدت الشركة المصنعة أنها تخطط لإصلاح هذا العيب الأمني خلال الأسابيع القادمة، داعيةً المستخدمين إلى توخي الحذر حتى صدور التحديث النهائي.

أنشطة المهاجمين على الشبكة

وجد فريق Volexity أدلة على بدء الاستغلال في الثالث من أكتوبر، حيث ركز الفاعل التهديدي UTA0576 بشكل أساسي على عدة أهداف: سرقة بيانات الاعتماد، تسريب البيانات، الاستطلاع الشبكي، والتلاعب في السجلات. نجح المهاجمون في سرقة بيانات اعتماد النطاق (Domain Credentials) المخزنة على جهاز VPN، وتسريب كمية محدودة من البيانات الوصفية لنظام Active Directory. كما استخدموا أداة مخصصة للبحث عن كلمات مرور LAPS ومفاتيح استعادة BitLocker داخل النظام.

لم تتوقف أنشطة المهاجمين عند ذلك، بل شملت تنفيذ هجمات رش كلمات المرور (Password-spraying)، واختبار صحة بيانات الاعتماد باستخدام أداة Kerberos مخصصة، ومحاولة استخراج البيانات من حركة المرور الشبكية المحجوزة. بالإضافة إلى ذلك، قاموا بمسح الشبكة، وجمع بيانات تكوين الجهاز، وتحليل سجلات المصادقة لتحديد أسماء المستخدمين الصالحة. ومن الجدير بالذكر أن Volexity لم تجد أي بوابات خلفية (Backdoors) أو قوالب ويب خبيثة (Web Shells) مثبتة على الجهاز المستهدف.

التقييم والدوافع المحتملة

تم رصد العملية وإيقافها قبل أن تتضح الأهداف النهائية للمهاجمين بالكامل. ومع ذلك، يقيّم فريق Volexity بثقة عالية أن هذه الأنشطة كانت تمهيداً للحركة الجانبية (Lateral Movement) داخل الشبكة، مما يشير إلى نية لتحقيق اختراق أوسع. وبناءً على طبيعة الهدف، تقيّم Volexity بثقة منخفضة أن الدوافع وراء هذه العمليات هي إجرامية وليست استخباراتية. كما أشارت الشركة إلى أن الفاعل UTA0576 يستخدم على الأرجح نماذج اللغة الكبيرة (LLMs) لتطوير أدوات الاستغلال والأنشطة ما بعد الاختراق، وهو نمط يلاحظه الفريق في العديد من العمليات التي يحقق فيها خلال عام 2026.