ช่องโหว่การข้ามการตรวจสอบสิทธิ์ที่เพิ่งเปิดเผยใน Ivanti Connect Secure กำลังถูกใช้ในการโจมตีแล้ว และ CISA กำลัง urging องค์กรต่างๆ ให้ดำเนินการอย่างรวดเร็ว ติดตามในชื่อ CVE-2026-104935 ช่องโหว่นี้ถูกจัดว่ามีความรุนแรงระดับสูง และนักวิเคราะห์คนหนึ่งที่อ้างในรายงานของ Cyber Daily อธิบายว่ามัน "ง่ายอย่างเหลือเชื่อ" ในการโจมตี หากองค์กรของคุณใช้งาน VPN gateway นี้ แพตช์สำหรับ Ivanti Connect Secure zero-day ควรถูกย้ายไปอยู่บนสุดของรายการที่ต้องทำ
รายละเอียดที่เปิดเผยต่อสาธารณะยังมีจำกัด ดังนั้นบทความนี้จะยึดเฉพาะสิ่งที่ได้รับการรายงานและมุ่งเน้นไปที่ขั้นตอนปฏิบัติที่คุณสามารถทำได้
CVE-2026-104935 คืออะไร และทำไมมันจึงถูกโจมตี
CVE-2026-104935 คือช่องโหว่การข้ามการตรวจสอบสิทธิ์ใน Ivanti Connect Secure พูดง่ายๆ การข้ามการตรวจสอบสิทธิ์ช่วยให้ผู้โจมตีผ่านขั้นตอนการล็อกอินที่ควรจะกีดกันคนนอกออกจากระบบ แทนที่จะขโมยรหัสผ่านหรือหลอกลวงผู้ใช้ ผู้โจมตีข้ามการตรวจสอบนั้นไปเลย
สองรายละเอียดอธิบายว่าทำไมสิ่งนี้จึงดึงความสนใจ pertama ช่องโหว่นี้ถูกอธิบายว่าเป็น zero-day ที่ผู้โจมตีได้กำหนดเป้าหมายแล้ว ครั้งที่สอง นักวิเคราะห์คนหนึ่งเรียกมันว่า "ง่ายอย่างเหลือเชื่อ" ในการโจมตี ช่องโหว่ง่ายๆ ที่ไม่ต้องใช้ข้อมูลรับรองและทักษะน้อยมักแพร่กระจายอย่างรวดเร็ว เพราะผู้โจมตีมากขึ้นสามารถใช้มันได้และการสแกนอัตโนมัติก็เป็นไปได้จริง
CISA ได้ urging ให้ดำเนินการอย่างรวดเร็ว บทความต้นทางไม่ได้ให้รายละเอียดทางเทคนิคเพิ่มเติม เช่น หมายเลขเวอร์ชันที่ได้รับผลกระทบหรือตัวตนของผู้โจมตี ดังนั้นโปรดตรวจสอบประกาศอย่างเป็นทางการของ Ivanti สำหรับรายละเอียดเหล่านั้น แทนที่จะพึ่งพาบทสรุปจากมือสอง
VPN Gateway ของคุณได้รับผลกระทบหรือไม่? วิธีตรวจสอบสัญญาณของการบุกรุก
เริ่มจากพื้นฐาน: ยืนยันว่าคุณใช้งาน Ivanti Connect Secure หรือไม่ รวมถึงอุปกรณ์เก่าหรือที่ถูกลืมในสาขา สภาพแวดล้อมทดสอบ หรือการปรับใช้บนคลาวด์ gateway ที่ไม่ได้จัดการมักเป็นเครื่องที่ไม่ได้แพตช์
จากนั้นเปรียบเทียบเวอร์ชันที่ติดตั้งของคุณกับเวอร์ชันที่ระบุในประกาศของ Ivanti หากคุณอยู่ในช่วงที่ได้รับผลกระทบ ให้ถือว่าอุปกรณ์มีความเสี่ยงจนกว่าจะอัปเดต
เนื่องจากมีการรายงานว่าการโจมตีกำลังดำเนินอยู่ การแพตช์เพียงอย่างเดียวอาจไม่เพียงพอ การข้ามการตรวจสอบสิทธิ์ที่ถูกโจมตีก่อนที่จะมีแพตช์อาจทิ้งร่องรอยไว้ ขั้นตอนที่สมเหตุสมผลรวมถึง:
- ตรวจสอบบันทึกการตรวจสอบสิทธิ์และบันทึกผู้ดูแลระบบสำหรับการล็อกอินที่ไม่คาดคิด โดยเฉพาะจากที่อยู่ IP ที่ไม่คุ้นเคยหรือในช่วงเวลาที่ผิดปกติ
- มองหาบัญชีใหม่หรือที่เปลี่ยนแปลง การเปลี่ยนแปลงการกำหนดค่า หรือไฟล์ที่ไม่คุ้นเคยบนอุปกรณ์
- เรียกใช้เครื่องมือตรวจสอบความสมบูรณ์ใดๆ ที่ผู้ขายให้มา และปฏิบัติตามคำแนะนำเกี่ยวกับความหมายของผลลัพธ์
- ตรวจสอบว่าอินเทอร์เฟซการจัดการสามารถเข้าถึงได้จากอินเทอร์เน็ตสาธารณะหรือไม่ในเมื่อมันไม่จำเป็นต้องเป็นเช่นนั้น
หากคุณพบสิ่งที่น่าสงสัย ให้ถือว่าเป็นเหตุการณ์: แยกอุปกรณ์ออก รักษาบันทึก และปฏิบัติตามคำแนะนำของผู้ขายและ CISA ก่อนนำกลับมาออนไลน์
ขั้นตอนการแพตช์และการบรรเทาผลกระทบตามคำแนะนำของ CISA
คำแนะนำที่ชัดเจนที่สุดคือการใช้แพตช์ของผู้ขายทันทีที่พร้อมใช้งานสำหรับเวอร์ชันของคุณ การ urging ให้ดำเนินการอย่างรวดเร็วของ CISA บ่งชี้ว่าการรอหน้าต่างการบำรุงรักษาตามปกติเป็นทางเลือกที่มีความเสี่ยงในกรณีนี้
ลำดับที่ปฏิบัติได้จริงมีลักษณะดังนี้:
- ใช้การอัปเดต ติดตั้งแพตช์ที่ Ivanti ให้มาหรือปฏิบัติตามการบรรเทาผลกระทบชั่วคราวใดๆ ที่ผู้ขายเผยแพร่หากยังไม่มีแพตช์สำหรับเวอร์ชันของคุณ
- จำกัดการเปิดเผย จำกัดการเข้าถึงการจัดการเฉพาะเครือข่ายที่เชื่อถือได้ และหากเป็นไปได้ ให้วางการควบคุมเพิ่มเติมไว้หน้าอุปกรณ์
- เปลี่ยนข้อมูลรับรองหากสงสัยว่าถูกบุกรุก ซึ่งรวมถึงบัญชีภายในและความลับใดๆ ที่จัดเก็บบนหรือเข้าถึงได้ผ่านอุปกรณ์
- ตรวจสอบหลังจากนั้น คงการบันทึกข้อมูลในระดับที่เพิ่มขึ้นไว้เป็นระยะเวลาหนึ่งหลังการแพตช์ เนื่องจากการบุกรุกก่อนหน้านี้อาจไม่ปรากฏขึ้นทันที
- บันทึกและรายงาน บันทึกสิ่งที่คุณพบและทำ และปฏิบัติตามข้อผูกพันในการรายงานใดๆ ที่ใช้กับองค์กรของคุณ
สำหรับเวอร์ชันแพตช์ที่แน่นอนและขั้นตอนการบรรเทาผลกระทบ โปรดพึ่งพา Ivanti และ CISA โดยตรง เนื่องจากคำแนะนำเหล่านั้นสามารถอัปเดตได้เมื่อสถานการณ์พัฒนา
ทำไมอุปกรณ์ VPN จึงเป็นเป้าหมายที่มีมูลค่าสูง
VPN gateway ตั้งอยู่ที่ขอบของเครือข่าย เผชิญกับอินเทอร์เน็ตโดยการออกแบบ ซึ่งทำให้任何人都สามารถเข้าถึงได้ และการบุกรุกที่สำเร็จสามารถเสนอเส้นทางตรงไปยังระบบภายในได้ ผู้โจมตีก็ชอบมันเพราะอุปกรณ์เหล่านี้มักทำงานด้วยสิทธิ์ที่กว้างและอาจจัดการข้อมูลรับรองสำหรับผู้ใช้จำนวนมาก
อุปกรณ์ Edge ยังอาจตรวจสอบได้ยากกว่าแล็ปท็อปหรือเซิร์ฟเวอร์ เนื่องจากอาจไม่รองรับเอเจนต์ความปลอดภัยเดียวกัน ช่องว่างนั้นให้เวลาผู้โจมตีมากขึ้นในการดำเนินการโดยไม่ถูกตรวจพบ รูปแบบนี้เป็นส่วนหนึ่งของการเปลี่ยนแปลงที่กว้างขึ้นซึ่งผู้โจมตีมุ่งเป้าไปที่โครงสร้างพื้นฐานที่ปกป้องการเข้าถึง ซึ่งเป็นธีมที่ปรากฏในบทวิเคราะห์ของเราเกี่ยวกับวิธีที่ AI กำลังเคลื่อนจากผู้ช่วยของผู้โจมตีไปสู่ผู้ปฏิบัติการอัตโนมัติ ในแคมเปญจารกรรมล่าสุด ซึ่งความเร็วและขนาดเอื้อประโยชน์ต่อผู้โจมตี
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณดูแล Ivanti Connect Secure นี่เป็นงานเร่งด่วน: ระบุอุปกรณ์ของคุณ แพตช์ และตรวจสอบสัญญาณของการบุกรุก อย่าสมมติว่าบันทึกที่เงียบหมายถึงอุปกรณ์ที่สะอาด
หากคุณเป็นพนักงานหรือผู้ใช้ระยะไกลของ VPN บริษัท คุณไม่สามารถแพตช์ gateway ได้ด้วยตัวเอง แต่คุณสามารถถามทีมไอทีของคุณว่ามันได้รับผลกระทบหรือไม่และแพตช์ถูกนำไปใช้แล้วหรือไม่ ใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำใครและการตรวจสอบสิทธิ์หลายปัจจัยบนบัญชีของคุณ และรายงานการแจ้งเตือนการล็อกอินหรือการแจ้งเตือนบัญชีที่ไม่คาดคิดใดๆ โปรดทราบว่าการข้ามการตรวจสอบสิทธิ์สามารถหลีกเลี่ยงการล็อกอินได้ ดังนั้นนิสัยเหล่านี้ช่วยลดความเสี่ยงแต่ไม่แทนที่การแพตช์
หากคุณใช้บริการ VPN สำหรับผู้บริโภค ปัญหาเฉพาะนี้เกี่ยวข้องกับผลิตภัณฑ์องค์กรของ Ivanti ไม่ใช่แอปสำหรับผู้บริโภค แต่มันก็ยังเป็นการเตือนที่มีประโยชน์ว่าระบบการเข้าถึงระยะไกลใดๆ ที่เผชิญกับอินเทอร์เน็ตต้องการการอัปเดตเป็นประจำ
ประเด็นสำคัญ
- ปฏิบัติต่อแพตช์ Ivanti Connect Secure zero-day สำหรับ CVE-2026-104935 เป็นเรื่องเร่งด่วน เนื่องจากมีการรายงานว่าการโจมตีเกิดขึ้นแล้ว
- ยืนยันว่า gateway ใดของคุณใช้งาน Ivanti Connect Secure และตรวจสอบเวอร์ชันของพวกมันกับประกาศของ Ivanti
- ตรวจสอบบันทึกและความสมบูรณ์ของอุปกรณ์สำหรับสัญญาณของการบุกรุก แม้หลังจากแพตช์แล้ว
- ปฏิบัติตามคำแนะนำของ CISA และคำแนะนำอย่างเป็นทางการของ Ivanti เมื่อมีการอัปเดต
- ใช้โอกาสนี้ทบทวนว่าองค์กรของคุณรักษาความปลอดภัยโครงสร้างพื้นฐานการเข้าถึงระยะไกลอย่างไร รวมถึงการเปิดเผยอินเทอร์เฟซการจัดการและการตรวจสอบอุปกรณ์ Edge
แพตช์ก่อน ตรวจสอบทีหลัง และเฝ้าระวังต่อไป: ลำดับนั้นให้โอกาสที่ดีที่สุดในการนำหน้ากรณีนี้
