חולשה ב-Ivanti Connect Secure, רכיב ה-VPN שארגונים מעמידים בקצה הרשת כדי לאפשר לעובדים להתחבר מרחוק, מאפשרת למי שכבר השיג דריסת רגל על המכשיר להעלות את עצמו להרשאות root, כלומר להרשאות המלאות של מערכת ההפעלה. לפי תיאור החולשה היא נוצלה בשטח באוקטובר 2026, וב-30 בחודש היא נכנסה לקטלוג החולשות המנוצלות של CISA. הציון שקיבלה הוא 7.0 מתוך 10.

מה החולשה?

על המכשיר רץ ברקע שירות בשם dsinvoked, שתפקידו לבצע פעולות בהרשאות גבוהות בשם רכיבים אחרים. כדי לדעת מה לעשות הוא קורא נתוני תצורה מרכיב בשם DSCache. לפי התיאור, הוא קורא משם ופועל לפי מה שמצא בלי לבדוק קודם עד כמה המקור שכתב לשם ראוי לאמון.

זה ההפרש שעליו הכול עומד. כשרכיב שרץ בהרשאות root מתייחס לנתונים שאת מקורם הוא אינו מוודא כאל הוראות, מי שמצליח להשפיע על אותם נתונים מקבל בפועל את ההרשאות של הרכיב שקורא אותם. לסוג הזה של כשל קוראים CWE-829, הסתמכות על רכיב שמגיע ממקור שאינו בשליטתכם.

הפרופיל של החולשה מספר בדיוק מה צריך בשביל להפעיל אותה. היא מסומנת כמקומית, כלומר התוקף צריך להיות כבר על המכשיר ואינו יכול להפעיל אותה מהאינטרנט, היא דורשת הרשאה נמוכה אך לא אפסית, ומסומנת כקשה לשחזור. בצד השני, היא אינה דורשת שאף משתמש יעשה משהו, והפגיעה בסודיות, בשלמות ובזמינות מסומנת גבוהה בשלושתן. זו אינה הדרך פנימה, זו הדרך למעלה. בין מקורות הרשומה מופיע מחקר של Volexity על שרשור חולשות יום-אפס ב-Connect Secure, וזה ההקשר שבו חולשה כזאת שווה לתוקף משהו.

מי מושפע?

הרשומה מגדירה שני טווחים: גרסה 22.8, ובכללה המהדורות מ-22.8R2 ועד 22.8R2.5, והטווח מ-25.1.0.0 ועד לפני 25.1.1.3. תיאור החולשה נוקב במפורש בגרסה 22.8R2.4.

מי שמריץ את זה הם ארגונים, לא גולשים פרטיים. Connect Secure הוא השער שדרכו עובדים נכנסים לרשת הפנימית מהבית או מהדרך, ולכן הוא יושב דווקא בקצה החשוף של הרשת ומחזיק בתוכו את פרטי האימות של מי שמתחבר דרכו. בישראל מדובר בארגונים בינוניים וגדולים ובספקי שירות שמנהלים גישה מרחוק. אם אתם לא אנשי IT, החולשה הזאת כנראה אינה נוגעת למכשיר שלכם, אבל היא עשויה לנגוע למקום שבו אתם עובדים.

האם מנוצלת בפועל?

כן. ב-30 באוקטובר 2026 הכניסה אותה CISA, סוכנות הסייבר האמריקאית, לקטלוג ה-KEV שלה, הרשימה שמרכזת את החולשות שיש עליהן ראיות לשימוש של תוקפים בשטח. גם תיאור החולשה עצמו אומר שהיא נוצלה בשטח באוקטובר 2026.

שווה לשים לב למועד שנקבע לתיקון. CISA דרשה מגופים פדרליים בארצות הברית לטפל בה עד 2 בנובמבר 2026, שלושה ימים אחרי שנכנסה לרשימה. זה טווח קצר במיוחד, והוא אומר משהו על איך הסוכנות קוראת את המצב.

מה עושים?

1. בדקו איזו גרסה רצה אצלכם. בענף 25.1 עדכנו ל-25.1.1.3 ומעלה, שזו הגרסה שמחוץ לטווח שהרשומה מגדירה.
2. אם אתם על 22.8, הרשומה מסמנת את הגרסה כחשופה אך אינה נוקבת במהדורה מתוקנת בענף הזה. היכנסו להודעת האבטחה של Ivanti כדי לראות מה היצרן מפרסם לענף שלכם, ואל תניחו שמהדורה מאוחרת בתוך 22.8R2 מכסה אתכם.
3. התייחסו למכשיר שהיה בטווח כאל מכשיר שאפשר שנגעו בו. החולשה נותנת root, ו-root על המכשיר הזה אומר גישה לכל מה ששמור עליו, ובכלל זה פרטי האימות של המשתמשים שהתחברו דרכו. החליפו אותם ואת הסודות שהמכשיר מחזיק, ולא רק עדכנו.
4. עקבו אחרי רשומת ה-KEV ואחרי הרשומה ב-NVD. החולשה פורסמה ב-15 באוקטובר ועודכנה ב-30 בו, והפרטים בה עדיין נעים.