چرا سازمان‌ها باید برای بازنشستگی VPN آماده شوند؟

به گزارش Network World، تداوم سوءاستفاده از ضعف‌های درگاه‌های VPN قدیمی و سرعت‌گرفتن کشف آسیب‌پذیری‌ها با هوش مصنوعی، معماری Zero Trust را به گزینه‌ای جدی‌تر برای دسترسی راه دور سازمانی تبدیل کرده است. مدیران شبکه و امنیت باید علاوه بر وصله‌کردن تجهیزات، دامنه دسترسی کاربران، پیمانکاران و عامل‌های هوش مصنوعی را نیز بازنگری کنند.

الگوی مشترک در رخدادهای اخیر VPN

این گزارش به چند نمونه از محصولات دسترسی راه دور اشاره می‌کند. گروه‌های باج‌افزاری Qilin و Settra از CVE-2026-0257، یک ضعف دورزدن احراز هویت در PAN-OS GlobalProtect و Prisma Access شرکت Palo Alto، برای ایجاد نشست‌های غیرمجاز VPN و حرکت جانبی در شبکه قربانیان بهره‌برداری کرده‌اند. آغاز بهره‌برداری تنها چهار روز پس از افشای آسیب‌پذیری گزارش شده است. در نمونه‌های دیگر، Ivanti در ۱۳ اکتبر CVE-2026-104935 را به‌عنوان ضعف دورزدن احراز هویتِ در حال بهره‌برداری فعال اعلام کرد. دو آسیب‌پذیری حیاتی WatchGuard Firebox با شناسه‌های CVE-2025-9242 و CVE-2025-14733 نیز هر دو امتیاز ۹.۳ داشتند و یک سرویس IKEv2 VPN را هدف می‌گرفتند. CVE-2025-5777 در Citrix NetScaler Gateway امکان ربودن نشست و عبور از MFA را نشان داد و در مورد SonicWall SSL VPN نیز استفاده از گذرواژه‌های محلی بازنشانی‌نشده، پس از انتشار وصله ادامه یافت. وجه مشترک این موارد، قرارگرفتن درگاه VPN در اینترنت عمومی و اعطای دسترسی گسترده‌تر به شبکه پس از ورود است. بنابراین نصب وصله ضروری است، اما در صورت سرقت اعتبارنامه یا ایجاد ماندگاری، به‌تنهایی مشکل را برطرف نمی‌کند.

Zero Trust چه تغییری ایجاد می‌کند؟

در معماری Zero Trust، کاربر، دستگاه یا عامل هوش مصنوعی به‌جای ورود به کل شبکه، فقط به برنامه مجاز متصل می‌شود. پنهان‌ماندن سامانه‌های داخلی از اینترنت عمومی، بازرسی ترافیک و محدودکردن حرکت جانبی می‌تواند شعاع آسیب یک حساب یا عامل تسخیرشده را کاهش دهد. برای کسب‌وکارها، گذار فوری و یک‌باره واقع‌بینانه نیست. پیشنهاد گزارش این است که ابتدا همه نقاط دسترسی اینترنتی شناسایی شوند؛ نشست‌های فعال پس از هشدارهای حیاتی خاتمه یابند؛ اعتبارنامه‌ها چرخش داده شوند؛ و دسترسی پیمانکاران، مدیران ممتاز و برنامه‌های حساس در اولویت انتقال قرار گیرد. عامل‌های هوش مصنوعی نیز باید هویت مستقل و حداقل سطح دسترسی لازم را داشته باشند. جمع‌بندی اینکه VPN یک‌شبه حذف نخواهد شد و برخی کاربردهای محدود باقی می‌مانند؛ اما تکرار ضعف‌های مشابه نشان می‌دهد برنامه‌ریزی برای جایگزینی مرحله‌ای آن با دسترسی مبتنی بر Zero Trust، باید بخشی از راهبرد امنیت شبکه سازمان باشد.