ثلاث ثغرات يوم صفر تخترق أجهزة VPN من Ivanti.. وأدوات الفحص لم تكتشف شيئاً
أجهزة الـVPN هي البوابة التي يدخل منها موظفو الشركات إلى شبكات العمل من منازلهم، ولهذا تحديداً تحولت إلى واحد من أثمن الأهداف عند المخترقين. وفي أكتوبر 2026 كشفت شركة الأمن Volexity عن هجوم متقن استهدف أجهزة Ivanti Connect Secure، اعتمد على سلسلة من ثلاث ثغرات يوم صفر مكّنت المهاجم من السيطرة على الجهاز بصلاحيات الجذر، حتى وهو مُحدّث بالكامل.
القصة لا تهم مسؤولي الشبكات وحدهم، فهي تكشف كيف تغيرت طريقة عمل المخترقين، وكيف يمكن لهجوم أن يمر دون أن تلتقطه أدوات الفحص المعتادة.
ماذا حدث بالضبط؟
بحسب تقرير Volexity المنشور يوم 13 أكتوبر، رصدت الشركة نشاطاً مريباً على جهاز VPN لدى أحد عملائها في الأسبوع الأول من أكتوبر، وتبيّن أن المهاجم كان موجوداً على الجهاز منذ 3 أكتوبر على الأقل. وتتبعت Volexity الجهة المهاجمة تحت اسم UTA0576، دون أن تنسبها إلى دولة أو مجموعة معروفة.
الجهاز المستهدف كان يعمل بالإصدار 22.8R2.4، وهو أحدث إصدار متاح وقتها، أي أن التحديث المنتظم لم يكن كافياً لحمايته. وهذا بالضبط ما يجعل ثغرات يوم الصفر مخيفة: لا يوجد إصلاح بعد.
سلسلة من ثلاث ثغرات
لم يعتمد المهاجم على ثغرة واحدة، بل ربط ثلاث ثغرات ببعضها كأنها حلقات في سلسلة:
الحلقة الأولى: تجاوز تسجيل الدخول
في صفحة تسجيل الدخول العامة للجهاز، وجد المهاجم خللاً في طريقة التعامل مع مسار الطلب داخل الترويسات، يسمح لطلبه بتخطي فحص المصادقة تماماً، أي الدخول دون اسم مستخدم أو كلمة مرور.
الحلقة الثانية: تنفيذ أوامر عن بُعد
بعد ذلك استغل ثغرة في خاصية رفع الملفات، فرفع سكربت بلغة Perl متنكراً في هيئة ملف ZIP. وعندما يفشل الجهاز في التحقق من الملف ويستعد لحذفه، يسابقه المهاجم لتشغيل السكربت قبل الحذف بأجزاء من الثانية، وهو ما يعرف بثغرة "حالة السباق".
هاتان الحلقتان مسجلتان تحت المعرّف CVE-2026-104935، بتقييم خطورة 8.6 من 10، وأضافتها وكالة CISA الأمريكية إلى قائمة الثغرات المستغلة فعلياً في يوم الإعلان نفسه.
الحلقة الثالثة: صلاحيات الجذر
أما الثغرة الثالثة فكانت في خدمة داخلية تعمل بصلاحيات مرتفعة، استغلها المهاجم ليعدّل إعدادات مشتركة في الذاكرة لفترة قصيرة، فيشغّل أوامره بصلاحيات root، ثم يعيد الإعدادات كما كانت حتى لا يترك أثراً.
ماذا فعل المهاجم بعد الاختراق؟
هنا تظهر خطورة الهجوم الحقيقية. فجهاز الـVPN متصل بشبكة الشركة وبخادم إدارة المستخدمين Active Directory، ولذلك استخدمه المهاجم نقطة انطلاق:
- استخدم حساب الخدمة الخاص بالجهاز للاتصال بخادم النطاق، وبحث عن كلمات مرور المسؤولين المحليين ومفاتيح استرداد BitLocker.
- التقط حركة البيانات على الشبكة لجمع كلمات مرور تمر دون تشفير.
- نفّذ هجمات تخمين كلمات المرور على حسابات الموظفين، وهجمات على بروتوكول Kerberos.
- ضغط النتائج وأرسلها عبر قناة الاختراق نفسها، ضمن ردود HTTPS تبدو عادية.
ويرى باحثو Volexity بثقة عالية أن كل هذا كان تمهيداً للتنقل داخل الشبكة والوصول إلى أنظمة أخرى، لكن الهجوم اكتُشف وتوقف قبل أن تتضح أهدافه النهائية.
لماذا لم تكتشفه أدوات الفحص؟
أكثر ما لفت الانتباه في هذا الهجوم هو "نظافته". فالمهاجم لم يزرع أي باب خلفي أو Web Shell على الجهاز، بل كان يعيد تنفيذ سلسلة الاختراق كاملة مع كل أمر يرسله. كما حذف سجلات محددة من سجلات النظام، وأخفى أداة التقاط البيانات تحت اسم مستعار في مجلد لا يظهر في القوائم العادية.
والنتيجة أن أداة Integrity Checker التي توفرها Ivanti لفحص سلامة الأجهزة لم ترصد شيئاً، لأنها تفحص الملفات على القرص، بينما كل ما فعله المهاجم كان في الذاكرة. والدرس هنا واضح: تقرير الفحص النظيف لا يعني بالضرورة أن الجهاز سليم.
وتشير Volexity أيضاً، بدرجة ثقة متوسطة، إلى أن المهاجم ربما استعان بنماذج لغوية كبيرة في تطوير الاستغلال وأدوات ما بعد الاختراق، وهو مؤشر جديد على دخول الذكاء الاصطناعي إلى ترسانة المخترقين.
لماذا أصبحت أجهزة الـVPN هدفاً مفضلاً؟
ليست هذه المرة الأولى التي تتعرض فيها أجهزة Ivanti لهجمات من هذا النوع، فقد شهدت السنوات الأخيرة موجات متكررة استهدفت أجهزة الحافة من شركات مختلفة. والسبب بسيط: هذه الأجهزة مكشوفة على الإنترنت بطبيعة عملها، وتعمل بأنظمة مغلقة لا يستطيع فريق الأمن تثبيت برامج الحماية المعتادة عليها، وفي الوقت نفسه ترتبط مباشرة بخوادم المستخدمين وكلمات المرور.
بمعنى آخر، اختراق جهاز VPN واحد يمنح المهاجم موطئ قدم داخل الشبكة دون أن يحتاج إلى خداع أي موظف برسالة تصيد.
هل يتأثر الموظف العادي؟
إذا كنت تتصل بشبكة عملك عبر VPN، فلن تلاحظ غالباً أي شيء غريب، فالهجوم يحدث على الجهاز نفسه لا على حاسوبك. لكن كلمة مرور حسابك في الشركة قد تكون ضمن ما جُمع، لذلك إذا طلب منك قسم تقنية المعلومات تغييرها فلا تؤجل، واحرص على تفعيل المصادقة الثنائية حيثما أمكن، ولا تستخدم كلمة مرور العمل نفسها في أي حساب شخصي.
هل يوجد إصلاح؟
أصدرت Ivanti يوم 13 أكتوبر تحديثات تعالج ثغرتي تجاوز المصادقة وتنفيذ الأوامر، وتشمل الإصدارات المصححة 22.8R2.5 و25.1.1.2 و25.1.3.0 و25.1.3.1. أما الإصدارات المتأثرة فهي 22.8R2.4 وما قبلها، و25.1.1.1 وما قبلها، و25.1.2.2 وما قبلها.
لكن ثغرة رفع الصلاحيات الثالثة ما زالت دون إصلاح حتى لحظة كتابة هذا المقال، وتقول Ivanti إن الإصلاح سيأتي في إصدار لاحق دون تحديد موعد.
ماذا يجب أن تفعل الشركات الآن؟
إذا كانت مؤسستك تستخدم Ivanti Connect Secure، فهذه الخطوات لا تحتمل التأجيل:
- ثبّت التحديث المصحح فوراً وبشكل طارئ، لا ضمن دورة التحديثات المعتادة.
- ابحث عن مؤشرات الاختراق حتى بعد التحديث، مستعيناً بالمؤشرات التي نشرتها Volexity على GitHub.
- راجع حساب الخدمة المرتبط بالجهاز وصلاحياته على Active Directory، وقلّصها إلى الحد الأدنى الضروري.
- غيّر كلمات المرور الحساسة التي ربما مرت عبر الجهاز، وراجع محاولات الدخول الفاشلة المتكررة على حسابات الموظفين.
- راقب حركة البيانات الصادرة من جهاز الـVPN، فأي اتصال غير معتاد بخادم النطاق قد يكون علامة إنذار.
وتبقى القرارات النهائية مثل إعادة ضبط الجهاز أو عزله من مسؤولية فريق الأمن في المؤسسة بعد تقييم الوضع.
الخلاصة
هجوم Ivanti الأخير يلخص اتجاهاً واضحاً في عالم الأمن السيبراني: المهاجمون لم يعودوا يحتاجون إلى زرع برامج خبيثة تبقى على الجهاز، ويمكنهم العمل من الذاكرة والاختفاء بعد كل خطوة. وأجهزة الحافة مثل الـVPN والجدران النارية أصبحت الهدف المفضل لأنها مكشوفة على الإنترنت ومتصلة بقلب الشبكة. التحديث السريع ضروري، لكنه وحده لم يعد كافياً من دون مراقبة مستمرة.
المصادر: Volexity، وRapid7، وSecurity Affairs، وBleepingComputer.
ولأن حماية الشبكات مسؤولية الجميع في عالم مترابط، يمتد اهتمامنا من متابعة المواقع العربية والمدونات المتخصصة، إلى جانب ما توفره متاجر مصر ومتاجر الكويت ومتاجر الفيتامينات والمواقع الأجنبية، مع الاعتماد على موقع مشهور لخدمات السوشيال عاملاً أساسياً للنجاح والاستمرارية.
و الى هنا إخوانى وأخواتى الأعزاء نكون قد أتممنا المهمة بنجاح ✌
صلوا عالحبيب قلوبكم تطيب وافعلوا الخير مهما كان صغيراً 🎯🌷
ولا تنسوا إخواننا فى كل مكان من دعائكم📌
وتقبلوا تحيات فريق #Ezznology #عز_التقنية
كما يمكنكم الإطلاع على منتجات متجرنا من هنا 👈#متجرنا 🌷او هنا
وللإنضمام الى اسرتنا على جروب التليجرام من👈هنا
وكذلك جروب الفيس بوك والذى نقوم بمشاركة المعلومات عليه ومساعدة الأعضاء من👈هنا
وللإشتراك فى نشرتنا الإخبارية على اخبار جوجل اضغط هنا✌👇
Ezznology on Google news
مواضيع أخرى قد تهمك أيضاً :
تحديث ويندوز أكتوبر 2026: مايكروسوفت تصلح 1411 ثغرة بينها ثغرة يوم صفر مستغلة
