Volexity מצאה את השרשרת על התקן Ivanti Connect Secure שהריץ את 22.8R2.4, הגרסה העדכנית ביותר באותו רגע. החולשה שאיוונטי תיקנה ב-13 באוקטובר 2026, CVE-2026-104935, קיבלה ציון 8.6 ונכנסה באותו יום לקטלוג החולשות המנוצלות בפועל של CISA. היא מכסה שתיים משלוש החוליות שהתוקף הרכיב, ולשלישית עדיין אין תיקון.

סקירה כללית

Connect Secure הוא שער הגישה מרחוק שעובדים מתחברים דרכו לרשת הארגונית מהבית. השער בודק כל בקשה לפי הכתובת שבשורת ה-URL, אבל מחליט לאן להעביר אותה בפועל לפי header נפרד שהתוקף שולט בתוכנו. בדיקה על דבר אחד, ניתוב לפי דבר אחר, על אותה בקשה בדיוק. לכשל הזה קוראים עקיפת אימות בהתחזות, והסיווג שניתן לו הוא CWE-290. ומי שלא עדכן נשאר מחוץ לסיפור: לפי הרשומה, 22.7R2.14 וכל מה שקדם לה אינן מושפעות.

מזהה: CVE-2026-104935
סוג: עקיפת אימות בהתחזות (CWE-290)
מוצר: Ivanti Connect Secure
גרסאות מושפעות: 25.1.0.0 עד 25.1.1.2 (לא כולל), 25.1.2.0 עד 25.1.3.0 (לא כולל), ו-22.8 במהדורות R2 עד R2.4
גרסה מתוקנת: 25.1.1.2 ו-25.1.3.0. לענף 22.8 איוונטי מפנה ל-22.8R2.5, שאינה ברשומת NVD
ניצול בפועל: כן, נכנסה לקטלוג ה-KEV של CISA ב-13 באוקטובר 2026

ציר זמן

1 באוקטובר 2026: לפי Defused, הסימנים הראשונים לניצול בשטח.
3 באוקטובר 2026: לפי Volexity, התוקף מריץ את השרשרת שוב ושוב על התקן של לקוח.
13 באוקטובר 2026: איוונטי משחררת תיקון, Volexity מפרסמת את המחקר, והחולשה נכנסת לקטלוג ה-KEV.
16 באוקטובר 2026: מועד התיקון שקבעה CISA לגופים הפדרליים בארצות הברית.

איך הניצול עובד

הכניסה מתחילה בסקריפט ציבורי בעמוד ההתחברות, welcome.cgi, שלא דורש אימות. התוקף מצרף לבקשה header בשם X-DSCGI-PATH שמצביע על סקריפט מוגן, והשער מנתב אותו לשם. משם הוא מעלה סקריפט Perl שמחופש לקובץ zip: מטפל ההעלאה כותב אותו לתיקייה זמנית לפני שהוא בודק אם זה ארכיון תקין, ומוחק רק אחרי שהבדיקה נכשלת. בחלון שבין הכתיבה למחיקה מגיעה בקשה מקבילה שמצביעה על הקובץ ומריצה אותו. החוליה השלישית, זו שאין לה תיקון, משנה בזיכרון ספרייה משותפת של שרת ה-CGI כדי שמשימת תחזוקה שרצה כ-root תריץ את הקוד של התוקף. לפי Volexity לא הושתלו webshell או דלת אחורית: כל פקודה הריצה את כל השרשרת מחדש, והתוצאה חזרה בתשובת ה-HTTP.

ניתוח ציון ה-CVSS

ציון CVSS: 8.6

הציון מתאר חוליה אחת ולא את השרשרת: תוקף שמגיע מהרשת, בלי חשבון ובלי שמישהו בצד השני לוחץ על כלום, וקורא את מה שההתקן מחזיק. בפועל התוקף הגיע ל-root על התקן מעודכן, דרך החולשה השלישית שהציון לא מתייחס אליה.

איפה למצוא Proof of Concept (PoC)

יום אחרי הפרסום אין PoC פומבי לחולשה הזאת, ובדקנו. הניתוח הטכני המלא של השרשרת נמצא בדוח של Volexity, שמפרסמת שם גם סימני זיהוי לחיפוש ביומנים.

מי שעדכן ב-13 באוקטובר סגר את שתי החוליות הראשונות, לא את השלישית. ולכן הפעולה החשובה כאן אינה העדכון אלא מה שאחריו: Volexity כותבת שבודק השלמות של איוונטי לא זיהה שום שינוי, מפני שהשרשרת עבדה בזיכרון והחזירה את התצורה למקומה. התקן שמדווח שהכול תקין אינו התקן נקי.