CVE-2026-118527: ثغرة Ivanti التي لا يفسّرها فهرس CISA نفسه

CISA تضيف ثغرتين جديدتين إلى السلسلة نفسها، ولا تفسّر واحدة منهما بالكامل

يفترض الجميع أن إضافة ثغرة إلى فهرس KEV هي اللحظة التي تُفسَّر فيها الثغرة أخيراً. مدخل CISA الخاص بـCVE-2026-118527 يفعل العكس تماماً. فهو يقول إن الخلل موجود، ويقول إنه يتسلسل مع ثغرتين أخريين على الجهاز نفسه، ويتوقف قبل أن يقول ما هو هذا الخلل فعلاً بكثير. [4]

بعد أسبوعين من مقالي عن CVE-2026-104935 — سلسلة welcome.cgi وصولاً إلى الجذر التي أعادت Volexity بناءها على جهاز Ivanti Connect Secure محدَّث بالكامل — أضافت CISA معرّفَي CVE إضافيين لنفس السلسلة إلى فهرس الثغرات المستغلة المعروفة، كلاهما في 30 أكتوبر 2026: CVE-2026-111357 وCVE-2026-118527. [3][4] أحدهما يُغلق خيطاً معلّقاً من المقال الأول. والآخر يفتح خيطاً جديداً.

CVE-2026-111357 هو النصف الواضح: اسم أخيراً لآلية سبق أن شرحتها

وصف المقال الأول مرحلة تصعيد صلاحيات دون معرّف CVE ودون إصلاح: مهاجم حصل فعلاً على تنفيذ شيفرة بصلاحيات مستخدم cgi-server غير المميَّز كان يستطيع إعادة توجيه dsinvoked، مُشغِّل مهام ICS الخاص بصلاحيات الجذر، عبر تعديل النسخة الموجودة في الذاكرة من مكتبة مشتركة. تلك المرحلة لديها الآن كلاهما. أصدرت Ivanti إصلاحاً في 29 أكتوبر 2026، ويحمل تحديث مقال Volexity ملاحظة تُسمّيه CVE-2026-111357. وصف NVD يتطابق بشكل مستقل مع الآلية: وسيط dsinvoked يثق ببيانات إعداد DSCache، ما يؤدي إلى تصعيد الصلاحيات إلى الجذر. [1][2]

علم المراجعة الجنائية الخاص بـCISA يوضّح كيف تتعامل مع كل ثغرة في هذه السلسلة. إلزامي بموجب التوجيه التنفيذي الملزم 26-04 لـCVE-2026-104935 وCVE-2026-111357. وغير إلزامي لـCVE-2026-118527. [5][3][4] استخلص استنتاجك الخاص بشأن مدى اعتبار CISA أن الثغرة الثالثة محسومة.

// KEV catalog entries for this chain, read directly from CISA's own catalog pages.

CVE-2026-104935   added 2026-10-13   due 2026-10-16   forensic triage: required
CVE-2026-111357   added 2026-10-30   due 2026-11-02   forensic triage: required   (Ivanti's patch shipped 2026-10-29)
CVE-2026-118527   added 2026-10-30   due 2026-11-13   forensic triage: not required

// Same chain, three different clocks, and CISA treating the third CVE
// differently from the other two without saying why in the catalog entry itself.

CVE-2026-118527 لا تطابق أي شيء كتبته Volexity من قبل

الوصف المختصر الذي تقدمه CISA لـCVE-2026-118527 يُقرأ كنسخة مبسّطة من خلل ورد في المقال الأول: يمكن لمهاجم موثَّق عن بُعد رفع ملفات بمحتوى يتحكم به إلى مكان معروف على القرص. [4] وهذا قريب من سلوك سباق wu.cgi «الكتابة قبل الفحص»، الذي يكتب ملفاً مرفوعاً إلى مسار متوقَّع مُستمَد من MD5 قبل فحص محتواه. قريب، لكن غير مطابق. مقال Volexity، الأصلي والمحدَّث، لم يذكر CVE-2026-118527 إطلاقاً ولا مرة واحدة. [1] وتقول CISA إن هذه الثغرة تحتاج مهاجماً موثَّقاً. أما سباق wu.cgi فيُستغَل دون مصادقة، عبر خدعة ترويسة welcome.cgi التي تفتح هذه السلسلة كلها.

لا أعرف أي من الأمرين صحيح: أن CVE-2026-118527 هو معرّف جديد لخلل مُغطّى بالفعل تحت CVE-2026-104935، أو أنه خلل مسار متوقَّع منفصل تماماً لم يصفه أحد علناً حتى الآن. لم تُحمَّل عندي النشرة الاستشارية الخاصة بـIvanti، التي قد تحسم هذا في جملة واحدة، في محاولتي بحث مستقلتين، أجراهما شخصان مختلفان، واصطدمتا بالجدار نفسه بطريقين مختلفين. هذا عائق مستمر، لا فجوة «أعد المحاولة لاحقاً». وإلى أن يتغيّر ذلك، أو تُعيد Ivanti نشر النشرة في مكان آخر، يبقى هذا سؤالاً مفتوحاً. أفضّل أن أقول ذلك بوضوح على أن أخمّن وأُخطئ في أي اتجاه.

جهة واحدة تنشر ترتيباً من ثلاث مراحل لا يدعمه مقال Volexity نفسه

هناك خيط معلّق ثانٍ. موقع مجمّع واحد غطّى إضافات KEV في 30 أكتوبر يصف ترتيباً محدداً للسلسلة: تنفيذ شيفرة عن بُعد دون مصادقة (CVE-2026-104935)، ثم زرع ملف موثَّق (CVE-2026-118527)، ثم تصعيد الصلاحيات (CVE-2026-111357)، كما لو كانت الثغرة الجديدة خطوة وسطى مقصودة. مقال Volexity نفسه لا يعمل بهذه الطريقة. فهو ينتقل مباشرة من تنفيذ الشيفرة عبر wu.cgi إلى تصعيد الصلاحيات عبر dsinvoked، دون مرحلة زرع ملف منفصلة بينهما. [6][1]

فإما أن هذا الموقع يملك تفاصيل من نشرة Ivanti لم يغطّها مقال Volexity، أو أنه مخطئ ببساطة، ولا يمكنني تحديد أيهما من هنا. ولن أتجاهل هذا التعارض باختيار النسخة الأكثر إقناعاً في القراءة. ويذكر المقال نفسه درجتي CVSS مختلفتين لـCVE-2026-111357 في نصه الخاص — 7.0 في موضع و8.8 في آخر — ودرجة 4.3 لـCVE-2026-118527 بينما يذكر جدول المقارنة الخاص به لنفس الثغرة عبارة «في انتظار التحليل». [6] اعتبر أي رقم لهاتين الثغرتين غير رقم NVD نفسه، 7.0 لـCVE-2026-111357، غير مؤكَّد، لأنه كذلك فعلاً الآن. [2]

ما يتغيّر فعلاً بالنسبة لك، بإجابة على أي من السؤالين أو بدونها

رقّع في كل الحالات. الجولة الأولى من إصلاحات CVE-2026-104935 أغلقت مرحلتَي welcome.cgi وwu.cgi؛ وقد ذكرت الإصدارات الدقيقة في المقال الأول، ولم تتغيّر تلك القائمة. أما مرحلة dsinvoked/DSCache فتحتاج تحديثها الخاص، المُتعقَّب الآن باسم CVE-2026-111357، الذي أصدرته Ivanti في 29 أكتوبر 2026. الموعد النهائي الفيدرالي لهذه الثغرة كان 2 نوفمبر 2026 — اليوم، في لحظة كتابتي هذا. [1][3] أما موعد CVE-2026-118527 فيمتد إلى 13 نوفمبر 2026، وعلم المراجعة الجنائية الخاص بـCISA يضعها «غير إلزامية» بموجب التوجيه 26-04، بخلاف الثغرتين الأخريين. [3][4][5]

لا تدع سؤالاً مفتوحاً عن هوية الثغرة يدفعك إلى الانتظار. سواء كانت CVE-2026-118527 خللاً جديداً أو خللاً قديماً أُعيدت تسميته، مسار الإصلاح واحد: الإصدارات الحالية، النشرات الحالية، وعدم إغلاق الحادثة بناءً على نتيجة نظيفة من Integrity Checker Tool وحدها. تلك القيود الواردة في المقال الأول لم تذهب إلى أي مكان.

// What this update actually settles, and what it doesn't.

SETTLED
  - CVE-2026-111357 is the dsinvoked / DSCache privilege escalation
    described in the original piece. Ivanti patched it on 2026-10-29.
  - CISA added both new CVEs to the KEV catalog on 2026-10-30.

NOT SETTLED
  - Whether CVE-2026-118527 is a new bug, or an existing one (the wu.cgi
    predictable-path upload) given its own CVE number.
  - Which chain order is correct: Volexity's (RCE straight to privilege
    escalation) or the three-stage order one outlet reported, with
    CVE-2026-118527 as a separate step in between.
  - Any CVSS score for CVE-2026-118527. NVD has no record for it as of
    this writing.

مدخل غير محسوم في KEV ليس خيطاً معلّقاً تتجاهله

النسخة الصادقة من هذا التحديث أقصر من الضجة حوله: معرّف CVE جديد أغلق فجوة أشرت إليها منذ أسبوعين، ومعرّف CVE جديد آخر فتح سؤالاً لا يجيب عنه فهرس CISA نفسه. كلا القولين صحيح في الوقت نفسه، ولا يُلغي أحدهما الآخر.

هذا تماماً نوع الفجوة التي أبحث عنها عند التحقق من إصلاح لعميل: ليس هل أُغلقت الثغرة المذكورة في التذكرة، بل هل أُصلحت فعلاً كل آلية نُسبت إلى سلسلة ما، بما فيها الآليات التي لم يصفها أحد بالكامل بعد. إن كان لديك جهاز Ivanti Connect Secure وتريد من يتحقق من ذلك في مقابل ما يعمل فعلاً عندك، فهذا هو العمل الذي أقوم به.