המכשיר שבו טיפלה חברת האבטחה Volexity היה מעודכן לגמרי, בגרסה 22.8R2.4, וב-3 באוקטובר מישהו נכנס אליו בכל זאת. החברה דיווחה ביום שלישי שתוקף ששרשר שלוש חולשות שלא היו מוכרות לאיש הצליח להריץ פקודות על שער ה-VPN של Ivanti בהרשאות root, בלי להזדהות ובלי חשבון.

מה קרה

Ivanti Connect Secure הוא הארגז שעובד מרחוק עובר דרכו כדי להגיע לרשת של מקום העבודה. הוא יושב בקצה הרשת, חשוף לאינטרנט מעצם תפקידו, ומי שמשתלט עליו יושב בדיוק בנקודה שבה עוברים פרטי ההתחברות של כל העובדים.

שתי החולשות הראשונות בשרשרת, עקיפת אימות והרצת קוד, מקוטלגות יחד כ-CVE-2026-104935 ומביאות את התוקף להרשאות מוגבלות על המכשיר. השלישית, חולשת הסלמת הרשאות, מרימה אותו משם ל-root. Ivanti הוציאה תיקון לשתי הראשונות וקראה ללקוחות בגרסאות המושפעות לפעול מיד. לשלישית אין עדיין תיקון, ולפי Volexity הוא צפוי בגרסה עתידית בשבועות הקרובים.

מה שהופך את המקרה לחריג הוא איך התוקף נשאר מוסתר. הוא לא השאיר נוזקה ולא דלת אחורית, ובמקום זה הריץ מחדש את כל שרשרת הניצול בשביל כל פקודה בודדת, ובדרך גם שינה את היומנים. הכלי ש-Ivanti ממליצה להריץ כדי לאתר פריצות, Integrity Checker Tool, לא מצא כלום, כי הניצול משנה את קוד הספריות בזיכרון בלבד ומחזיר לקדמותו כל שינוי שהוא עושה בקובצי ההגדרות. באותו אירוע התוקף חילץ פרטי אימות שמורים, כולל פרטי התחברות לדומיין הארגוני, חיפש סיסמאות ב-Active Directory והריץ ניסיונות התחברות אוטומטיים מול החשבונות שמצא.

כמה ארגונים נפגעו? Ivanti מדברת על ניצול מוגבל בשטח, אף אחת מהחברות לא נקבה במספר, ו-Volexity חקרה אירוע אחד אצל לקוח אחד. ההערכה שלה שמדובר בפשיעה ולא בריגול נאמרה במפורש ברמת ביטחון נמוכה. Shadowserver סופר יותר מ-5,500 מכשירי Connect Secure חשופים לאינטרנט, אבל חלקם עשויים להיות מלכודות דבש או מכשירים שכבר תוקנו.

למה זה חשוב לכם

רוב מי שקורא את זה לא מנהל שער VPN, אבל לא מעט ישראלים מתחברים דרך מכשיר כזה למקום העבודה. במקרה היחיד שנחקר, מה שהתוקף לקח היה פרטי ההתחברות של העובדים. אם אותה סיסמה משמשת אתכם גם בחשבון פרטי, הבעיה לא נשארת בעבודה.

מה עושים?

אם במקום העבודה מבקשים מכם להחליף סיסמה בימים הקרובים, עשו זאת מיד ולא בשבוע הבא.

אל תשתמשו בסיסמת העבודה בשום מקום אחר, ובטח לא במייל הפרטי או ברשתות החברתיות. זו בדיוק הנקודה שבה דליפה ארגונית הופכת לבעיה אישית.

הפעילו אימות דו-שלבי בכל חשבון שמאפשר את זה. גם כשסיסמה נגנבת, הצעד השני הוא מה שעוצר את ההתחברות.

לאנשי ה-IT: שדרגו ל-25.1.3.0 ומעלה או ל-22.8R2.5, והניחו שהרצה נקייה של Integrity Checker Tool לא מעידה שהמכשיר נקי. Volexity פרסמה סימנים לבדיקה, ביניהם ריבוי בקשות לנתיב welcome.cgi תחת dana-na ותיקייה בשם icscap תחת data.

Volexity ו-Ivanti לא אמרו אם שדרוג מנתק תוקף שכבר נכנס. זו שאלה שכל ארגון שהריץ את הגרסאות האלה צריך לענות עליה בבדיקה, לא בהנחה.