CISA دو قانون VPN ایوانتی را به کاتالوگ Exploited-Vulnerability به عنوان مهلت فدرال برای سرزمین های مهم Bug اضافه می کند.
آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) هشدار امنیتی خود را در 30 اکتبر به روز کرد تا دو آسیب پذیری را در دستگاه VPN امن، CVE-2026-2026-111357 و CVE-2026-118527، به کاتالوگ آسیب پذیری های استخراج شده (KEV) اضافه کند - و مهلت اصلاح آن سازمان های غیر نظامی فدرال را برای 1 نوامبر امروز تعیین می کند. ایوانتی اتصال امن به طور گسترده ای برای دسترسی از راه دور توسط شرکت ها و سازمان های دولتی استفاده می شود و CISA می گوید که بازیگران تهدید به طور فعال از این نقص ها بهره برداری می کنند.
با توجه به هشدار CISA، سه زنجیره نقص با هم: همراه با CVE-2026-10439، که در 13 اکتبر به کاتالوگ اضافه شد، آنها اجازه می دهند یک مهاجم از راه دور و بدون محدودیت برای اجرای دستورات خودسرانه، سرقت اعتبار و داده های exfiltrate. نسخه های تحت تاثیر اتصال امن 25.1.1.2 و قبل از آن 25.1.2.2 و قبل و 22.8R2.5 و قبل از آن است. شرکت امنیتی Volexity می گوید که یک بازیگر به عنوان UTA0576 از اوایل اکتبر از زنجیره بهره برداری کرده است، در یک مورد شکستن به یک دستگاه کاملا پچ شده، به دست آوردن دسترسی ریشه و رفتن مستقیم برای اعتبار Active Directory.
از دو نقص جدید ذکر شده، CVE-2026-111357 یک مسئله از دست رفته است که امتیاز CVSS 8.8 را دارد که اجازه می دهد یک مهاجم معتبر محلی به ریشه افزایش یابد؛ مهلت فدرال آن 2 نوامبر است. CVE-2026-118527، یک مسئله قابل پیش بینی با امتیاز CVSS 4.3، اجازه می دهد تا یک فایل بارگذاری شده از راه دور به یک مکان شناخته شده در دیسک؛ مهلت آن 13 نوامبر است. ایوانتی در 29 اکتبر 22.8R2.6 و 25.1.1.3 را منتشر کرد.
CISA از هر سازمانی که در حال اجرا لوازم تحت تاثیر برای به روز رسانی به آخرین نسخه بلافاصله. همچنین هشدار می دهد که ابزار یکپارچگی ایوانتی ممکن است بهره برداری از CVE-2026-10439 را تشخیص ندهد، زیرا دستورات مهاجم در حافظه اجرا می شود؛ سازمان هایی که مشکوک به سازش شبکه و حافظه قانونی هستند و باید از روش های بازیابی ایوانتی پیروی کنند، رمز عبور، گواهینامه ها و کلیدها را تنظیم کنند. CISA همچنین خاطرنشان می کند که نسخه امن 22.8 در 31 ژانویه 2027 به پایان می رسد.
منبع: GSM · ایالات متحده (نسخه انگلیسی · نسخه اصلی چینی)
عکس: 美国国土安全部总部（圣伊丽莎白园区）航拍。照片：Michael Hvozda／美国海岸警卫队，公共领域，经 Wikimedia Commons。
