ה-VPN היה מעודכן - שרשרת הפריצה שהתגלתה ב-Ivanti
מכשיר Ivanti Connect Secure שנבדק בחקירת Volexity היה מעודכן בעת התקיפה, ובכל זאת התוקף הצליח להריץ עליו קוד בהרשאות root. בתחקיר שפורסם ב-13 באוקטובר 2026 תיארו החוקרים שרשרת של שלוש חולשות שנוצלו בפועל בתחילת אותו חודש.
הפרט הזה חשוב להבנת האירוע. ״מעודכן״ מתאר את מצב התקנת התיקונים הזמינים בנקודת זמן מסוימת. כאשר תוקף מנצל חולשה שעדיין אין לה תיקון זמין, נדרשות גם יכולות לזהות את הפעילות, להגביל את היקף הגישה ולחקור מה התרחש.
במקרה הזה, נקודת הכניסה הייתה רכיב שמאפשר לעובדים להתחבר לרשת הארגונית מרחוק. מעמדו כמתווך בין האינטרנט למערכות הפנימיות הפך את השליטה בו לבעלת משמעות רחבה.
שלוש חולשות שחוברו לשרשרת אחת
לפי Volexity, התקיפה שילבה שלוש יכולות:
רכיב בשרשרת | היכולת שהעניק לתוקף |
עקיפת אימות | גישה לפעולות שאמורות להיות מוגנות |
הרצת קוד מרחוק | הפעלת קוד על המכשיר |
העלאת הרשאות | מעבר להרשאות root, בעלות שליטה נרחבת במערכת |
רכיבי עקיפת האימות והרצת הקוד תועדו תחת המזהה CVE-2026-104935.
החיבור בין השלבים מסביר מדוע יש לבחון חולשות גם בהקשר המערכתי שלהן. יכולת מוגבלת בשלב הראשון עשויה לפתוח גישה לרכיב אחר, שמעניק יכולת נוספת. הערכת הסיכון צריכה להביא בחשבון את מסלול ההתקדמות האפשרי בתוך המוצר ואת המערכות שאליהן הוא מחובר.
כך גם לגבי אימות משתמשים. אמצעי כמו אימות דו-שלבי מחזק את תהליך ההתחברות, אך מימוש השירות שמטפל בבקשות זקוק להגנות משלו. חולשה המאפשרת לעקוף את תהליך האימות פועלת בגבול אחר מזה שעליו מגן הגורם השני.
ההמלצות על אימות דו-שלבי לחשבונות שמנהלים אתר נשארות חיוניות. לצדן צריך לבחון את אבטחת השירות עצמו ואת ההרשאות שהוא מקבל לאחר התחברות לרשת.
מדוע התוקפים חיפשו מפתחות BitLocker
החקירה זיהתה חיפוש אחר פרטי גישה וסודות בסביבת Active Directory, לרבות סיסמאות מנהל מקומיות ומפתחות שחזור של BitLocker.
מפתח שחזור של BitLocker מאפשר לפתוח את הכונן המוצפן המתאים במצב שחזור. בארגון, המפתח עשוי להיות שמור במערכת הניהול הארגונית לצורך סיוע למשתמשים והשבת גישה למחשבים. לכן ההרשאות לקריאתו הן חלק מההגנה על המידע המוצפן.
עצם החיפוש אחר המפתחות אינו מוכיח שכל המפתחות נמצאו או ששימשו לפתיחת כוננים. הוא כן מבהיר מדוע חקירה של מכשיר גישה מרחוק צריכה לבחון גם את הזהויות והסודות שהיו נגישים ממנו.
מבחינת ניהול הסיכון, השאלה היא אילו הרשאות נדרשות לרכיב כדי לבצע את תפקידו. חשבון שירות בעל הרשאות רחבות עלול להרחיב את ההשלכות של פריצה למכשיר אחד. הגבלת ההרשאות יכולה לצמצם את מרחב הפעולה הזמין לאחר חדירה.
הראיות לא נשארו בהכרח בקבצים
Volexity תיארה שינויים בזיכרון, שחזור של הגדרות ומחיקת רשומות מיומנים. החוקרים הסבירו מדוע בדיקת שלמות הקבצים של Ivanti לא זיהתה את השינויים שבוצעו בזיכרון במקרה שנחקר.
כאן חשוב להבין מה כל בדיקה מסוגלת להראות. בדיקת קבצים בוחנת היבט מסוים של המערכת. חקירת זיכרון, תעבורת רשת ואירועי זהות מוסיפה נקודות מבט אחרות. המסקנה מתקבלת מהצטברות הראיות ומההתאמה ביניהן.
גם למיקום היומנים יש משמעות. כאשר תוקף משיג הרשאות גבוהות במכשיר, היכולת לשנות את הרשומות המקומיות עלולה לפגוע בתמונה שנשארת לחוקרים. איסוף אירועים למערכת נפרדת מספק מקור נוסף להשוואה ולבניית ציר זמן.
עדכון המכשיר וחקירת החשיפה
לפי דוח Volexity מ-13 באוקטובר, באותו מועד פורסם תיקון לעקיפת האימות ולהרצת הקוד, ואילו תיקון להעלאת ההרשאות היה בפיתוח. זהו מצב התיקונים המתואר בדוח המקורי; החלטת שדרוג צריכה להתבסס על הודעת האבטחה העדכנית של Ivanti ועל הגרסה המותקנת.
לארגון שמפעיל מערכת כזאת יש שלוש שאלות נפרדות לבירור:
- מצב ההגנה: אילו גרסאות מותקנות ואילו עדכונים והנחיות חלים עליהן.
- היקף החשיפה: לאילו שירותים, חשבונות וסודות יכול המכשיר להגיע.
- היסטוריית הפעילות: האם קיימות ראיות לחדירה, לשימוש בהרשאות או לפעילות חריגה במערכות אחרות.
ההפרדה הזאת תואמת את הגישה הרחבה של NIST לתגובה לאירועים: לשלב היערכות, גילוי, תגובה והתאוששות בתוך ניהול סיכוני הסייבר של הארגון.
התקנת תיקון מטפלת בנתיב תקיפה מסוים. בירור מה התרחש לפני התקנתו דורש ראיות על פעילות המערכת. אם מתגלה חשיפה של פרטי גישה, הטיפול צריך לכלול גם בחינה של השימוש בהם ושל הצורך לבטל או להחליף אותם.
מכשיר גישה מרחוק הוא רכיב אבטחה בעל הרשאות וקשרים בתוך הארגון. ההגנה עליו נמדדת בעדכונים שהוא מקבל, בגבולות הגישה שלו וביכולת של הארגון לזהות ולחקור חריגה כשהיא מתרחשת.
