وقت بازنشستگی VPNها رسیده؟
هوش مصنوعیخلاصهٔ کامل‌تر
مقاله‌ی Network World این سؤال رو مطرح می‌کنه که آیا وقت کنار گذاشتن VPNها رسیده. نویسنده می‌گه VPN برای دنیایی ساخته شد که کارمندها تو دفتر بودن و اپلیکیشن‌ها تو دیتاسنتر، و حالا هزینه‌ی امنیتیش داره خودشو نشون می‌ده. مثال تازه‌ش CVE-2026-0257 هست، یه authentication bypass تو GlobalProtect و Prisma Access شرکت Palo Alto. گروه‌های ransomware مثل Qilin فقط چهار روز بعد از افشا ازش استفاده کردن تا session غیرمجاز VPN بسازن و تو شبکه جابه‌جا بشن.
به گفته‌ی نویسنده این یه الگوئه، نه یه باگ. Ivanti Connect Secure با CVE-2026-104935 یه bypass فعال داشت و CISA تا حالا ۳۶ آسیب‌پذیری Ivanti رو exploitشده اعلام کرده. WatchGuard Firebox دو باگ با امتیاز ۹.۳ تو سرویس IKEv2 داشت. Citrix NetScaler با «CitrixBleed 2» اجازه‌ی دزدیدن session و دور زدن MFA رو می‌داد. تو SonicWall هم گروه Akira تا یه سال بعد از patch هنوز وارد می‌شد، چون پسوردهای منتقل‌شده هیچ‌وقت عوض نشده بودن. یعنی patch کردن به‌تنهایی در رو نمی‌بنده.
نویسنده معتقده با هوش مصنوعی اوضاع بدتر میشه. Anthropic تو Project Glasswing نشون داد که مدل Claude Mythos Preview هزاران zero-day پیدا کرده، از جمله یه باگ ۲۷ ساله تو OpenBSD. شرکای Glasswing تو یه ماه بیش از ۱۰ هزار آسیب‌پذیری با شدت بالا یا بحرانی پیدا کردن. به نظر نویسنده، VPNها با کدبیس بزرگ و قدیمی و جایگاهشون روی اینترنت دقیقاً هدفی‌ان که این ابزارها راحت ازش آسیب‌پذیری درمیارن، و فاصله‌ی چهارروزه‌ی افشا تا حمله به چند ساعت می‌رسه.
راه‌حلی که پیشنهاد میشه zero trust هست، یعنی مدلی که کاربر فقط به اپلیکیشن‌هایی که اجازه داره وصل میشه و نه به کل شبکه. Adam Geller از Zscaler می‌گه این آسیب‌پذیری‌ها محدودیت معماری‌ان: VPN یه gateway رو اینترنت می‌ذاره و اگه شکسته بشه دسترسی گسترده می‌ده. این موضوع برای AI agentها مهم‌تره، چون یه agent هک‌شده با دسترسی کل شبکه می‌تونه آسیب خیلی بزرگی بزنه.
توصیه‌های نویسنده: همه‌ی نقاط دسترسی روی اینترنت رو فهرست کنین. بعد از هر هشدار جدی فرض کنین gateway نفوذ شده، sessionها رو قطع کنین و credentialها رو عوض کنین. پیمانکارها، ادمین‌ها و اپلیکیشن‌های حیاتی رو اول ببرین سمت zero trust. برای هر AI agent یه هویت جدا با کمترین دسترسی تعریف کنین. و یه تاریخ مشخص برای بازنشستگی VPN بذارین، چون تا وقتی VPN به‌عنوان گزینه‌ی پشتیبان باشه، مهاجرت جلو نمی‌ره.
نکات کلیدی:
- CVE-2026-0257 تو Palo Alto GlobalProtect فقط چهار روز بعد از افشا مورد حمله قرار گرفت
- CISA از ۲۰۲۱ تا حالا ۳۶ آسیب‌پذیری exploitشده‌ی Ivanti رو ثبت کرده
- گروه Akira یه سال بعد از patch هنوز از VPN SonicWall وارد می‌شد چون پسوردها ریست نشده بودن
- شرکای Project Glasswing تو یه ماه بیش از ۱۰ هزار آسیب‌پذیری بالا یا بحرانی پیدا کردن
- zero trust کاربر و agent رو فقط به اپلیکیشن مجاز وصل می‌کنه، نه به کل شبکه
