آسیب‌پذیری Ivanti Connect Secure؛ مدیران شبکه چگونه نفوذ را شناسایی کنند؟

از کجا بفهمیم VPN سازمان هک شده است؟ راهنمای عملی برای مدیران شبکه

آسیب‌پذیری CVE-2026-104935 در Ivanti Connect Secure در حملات واقعی استفاده شده است. نسخه‌های آسیب‌پذیر، نشانه‌های نفوذ و اقدامات ضروری مدیران شبکه را بخوانید.

نویسنده:

بهراد یوسفی

اگر سازمان شما از تجهیزات Ivanti Connect Secure برای دسترسی از راه دور استفاده می‌کند، نصب به‌روزرسانی امنیتی را به تعویق نیندازید؛ اما بررسی را هم به همین اقدام محدود نکنید. گزارش منتشرشده در 21مهر نشان می‌دهد مهاجمان از زنجیره‌ای از آسیب‌پذیری‌ها برای نفوذ به این تجهیزات استفاده کرده‌اند و در نمونه بررسی‌شده، به اطلاعات احراز هویت و داده‌های شبکه داخلی دسترسی یافته‌اند. مهم‌تر اینکه برخی آثار حمله از گزارش‌های معمول دستگاه حذف شده بودند. مدیران شبکه باید هم‌زمان وضعیت وصله‌ها، نشانه‌های نفوذ و احتمال افشای حساب‌های سازمانی را بررسی کنند.

اگر مسئول شبکه هستید، این پنج اقدام را انجام دهید

۱. امروز مشخص کنید آیا تجهیزات شما در معرض خطر هستند

از تیم زیرساخت بخواهید فهرست تمام تجهیزات Ivanti Connect Secure را همراه با نسخه و شماره ساخت تهیه کند. سپس نسخه‌ها را با اطلاعیه رسمی Ivanti تطبیق دهید. اگر از این محصول استفاده نمی‌کنید، این هشدار به‌خودی‌خود به معنی آسیب‌پذیری شبکه شما نیست. اگر از آن استفاده می‌کنید، بررسی را به یک دستگاه محدود نکنید؛ تمام نمونه‌های فعال و پشتیبان باید مشخص شوند.

۲. اصلاحیه رسمی را نصب کنید؛ اما تصور نکنید کار تمام شده است

Ivanti برای آسیب‌پذیری CVE-2026-104935 اصلاحیه منتشر کرده است. نسخه مناسب را از راهنمای سازنده انتخاب کنید و نصب آن را در اولویت قرار دهید. یک نکته مهم وجود دارد: پژوهشگران Volexity گزارش کرده‌اند که مهاجم در حمله بررسی‌شده، از سه آسیب‌پذیری به‌صورت زنجیره‌ای استفاده کرده است؛ بخشی از این زنجیره با اصلاحیه منتشرشده در ۱۳ اکتبر برطرف شد، اما نقص ارتقای سطح دسترسی در زمان انتشار گزارش هنوز اصلاح نشده بود. بنابراین، تیم فنی باید علاوه بر نصب وصله موجود، راهنمای تکمیلی سازنده را نیز دنبال کند. اگر دستگاه پیش از نصب اصلاحیه در معرض اینترنت بوده است، احتمال نفوذ قبلی را هم بررسی کنید. به‌روزرسانی، آثار احتمالی دسترسی مهاجم در گذشته را به‌طور خودکار از بین نمی‌برد.

۳. این نشانه‌ها را در گزارش‌های امنیتی جست‌وجو کنید

از تیم مانیتورینگ بخواهید درخواست‌های غیرعادی به رابط ورود VPN، اجرای فرمان‌های غیرمنتظره، دسترسی‌های مدیریتی مشکوک و ارتباطات غیرعادی دستگاه با شبکه داخلی را بررسی کند. در گزارش Volexity، مهاجم تلاش کرده بود اطلاعات حساب‌های دامنه را استخراج کند، Active Directory را بررسی کند و داده‌هایی مانند رمزهای مدیریتی ذخیره‌شده و کلیدهای بازیابی BitLocker را پیدا کند. همچنین بخشی از گزارش‌های دستگاه دست‌کاری شده بود. به همین دلیل، نبودن یک هشدار مشخص یا پیدا نشدن فایل مخرب به‌تنهایی نشانه امن بودن دستگاه نیست. اگر شواهد مشکوکی وجود دارد، بررسی تخصصی حافظه، دیسک و ترافیک شبکه را در دستور کار قرار دهید.

۴. اگر احتمال نفوذ وجود دارد، حساب‌های داخلی را هم بررسی کنید

اگر دستگاه مشکوک است، فقط خود VPN را بررسی نکنید. حساب‌های سرویس متصل به Active Directory، دسترسی‌های مدیریتی، حساب‌های دارای امتیاز بالا و سامانه‌هایی را که از طریق VPN در دسترس بوده‌اند نیز ارزیابی کنید. در صورت احتمال افشای اعتبارنامه‌ها، تغییر رمزها و ابطال نشست‌ها یا توکن‌های مرتبط را از یک محیط امن و طبق برنامه پاسخ‌گویی به رخداد انجام دهید. اگر احتمال سرقت اطلاعات حساس یا دسترسی مهاجم به شبکه داخلی وجود دارد، موضوع را به تیم پاسخ‌گویی به رخداد ارجاع دهید و شواهد را پیش از پاک‌سازی یا بازنشانی دستگاه حفظ کنید.

نکته: بازنشانی یا نصب مجدد دستگاه بدون بررسی شواهد ممکن است بخشی از اطلاعات لازم برای تشخیص دامنه حمله را از بین ببرد.