תוקפים שרשרו שלוש חולשות לא מוכרות בשערי ה-VPN של Ivanti Connect Secure כדי להריץ פקודות כ-root ללא הזדהות, ואז אספו פרטי הזדהות של Active Directory. Ivanti תיקנה שתיים ב-13 באוקטובר (CVE-2026-104935); חולשת הסלמת ההרשאות עדיין פתוחה.
מה קרה
ב-13 באוקטובר 2026 פרסמה Ivanti את החולשה CVE-2026-104935 בשער ה-VPN שלה, Connect Secure, ומסרה כי ידוע לה על ניצול מוגבל. באותו יום הוסיפה CISA את החולשה לקטלוג החולשות המנוצלות ונתנה לסוכנויות הפדרליות בארה״ב עד 16 באוקטובר לפעול. החולשה דווחה על ידי Volexity, שגילתה את שרשרת הניצול בעת חקירת חדירה אצל לקוח שהחלה ב-3 באוקטובר.
לפי Volexity, השרשרת משלבת שלוש חולשות: עקיפת הזדהות ב-welcome.cgi, כתיבת קבצים המובילה להרצת קוד מרחוק, והסלמת הרשאות עד root. שתי הראשונות מרוכזות תחת CVE-2026-104935 (CVSS 8.6) ותוקנו. להסלמת ההרשאות אין עדיין תיקון; Volexity מצפה לו בשבועות הקרובים.
מה עשו התוקפים
Volexity עוקבת אחר הגורם בשם UTA0576. הוא לא התקין webshell או דלת אחורית, אלא השתמש בשער כדי לאסוף פרטי הזדהות: שאילתות LDAP ל-Active Directory, Kerberoasting, ריסוס סיסמאות ולכידת תעבורה כדי לחלץ התחברויות LDAP, HTTP Basic ו-NTLM בטקסט גלוי. הוא חיפש גם סיסמאות LAPS, מפתחות שחזור של BitLocker ואת תצורת ה-VPN. מאחר שהשינויים נשמרו בזיכרון, ייתכן שכלי בדיקת השלמות של Ivanti (Integrity Checker Tool) לא יזהה את החדירה.
מה לעשות עכשיו
- בדקו את הגרסה. לפי NVD, הענפים 22.8R2 עד 22.8R2.4 ו-25.1 שלפני 25.1.3.0 פגיעים; 22.7R2.14 ומטה אינן פגיעות.
- עדכנו מיד ל-22.8R2.5 או ל-25.1.3.0 / 25.1.3.1, בהתאם להודעת Ivanti.
- חפשו ביומנים פרצי בקשות אל
/dana-na/auth/url_default/welcome.cgiעם כותרתX-DSCGI-PATH, וקבצים לא צפויים ב-/tmp/. אל תסתמכו על Integrity Checker בלבד. - אם השער היה חשוף מתחילת אוקטובר, הניחו שייתכן שנפרץ: החליפו סיסמאות של חשבונות השירות ב-AD שבשימוש ה-VPN ושל חשבונות עם SPN, חדשו סיסמאות LAPS ומפתחות BitLocker, ועקבו אחר ניסיונות ריסוס סיסמאות.
- התקינו את התיקון השלישי ברגע ש-Ivanti תפרסם אותו.
הדעה שלנו
שער VPN רואה כל סיסמה שעוברת דרכו, ולכן הוא המקום האידיאלי לגנוב ספרייה שלמה בלי לגעת באף תחנת עבודה. העדכון סוגר את הדלת, אבל פרטי הזדהות שנגנבו לפניו נשארים תקפים עד שמחליפים אותם. ההחלפה היא חלק מהתגובה, לא אפשרות.
מקורות
- Ivanti — October 2026 Security Update
- Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days
- CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-104935
- NIST NVD — CVE-2026-104935
איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←
האם השרת שלכם חשוף? הריצו בדיקה חינמית — מידע ציבורי בלבד, ללא חדירה:
חוששים שהשרתים שלכם חשופים? הצוות שלנו בודק, מעדכן ומנטר תשתיות Linux וענן 24/7.
דברו עם מומחה שירותי ניהול השרתים שלנו ←
