Ivanti Connect Secure CVE-2026-104935: lanț zero-day până la root
Pe 13 octombrie 2026, Ivanti a confirmat „exploatare limitată” a unei vulnerabilități în Ivanti Connect Secure, gateway-ul VPN folosit de multe instituții și companii. CVE-2026-104935 permite unui atacator neautentificat să execute comenzi de la distanță și are scorul CVSS 8,6. CISA a adăugat-o în KEV în aceeași zi, cu termen federal 16 octombrie, iar NCSC din Țările de Jos a cerut actualizarea imediată.
Volexity, firma care a investigat incidentul, descrie un lanț de trei vulnerabilități care a dat atacatorului acces root pe un echipament considerat complet actualizat. Ivanti a reparat două dintre ele, iar corecția pentru a treia, o escaladare de privilegii, era încă în lucru la 13 octombrie. Mai jos găsești ce versiuni rezolvă problema, de ce Integrity Checker Tool nu este suficient și ce dovezi să păstrezi.
Ce este confirmat
În actualizarea de securitate din 13 octombrie, Ivanti spune că știe de exploatare limitată în mediul real și că lucrează direct cu organizațiile afectate. Recomandarea producătorului: actualizarea la versiunea corectată cât mai repede și rularea regulată a Integrity Checker Tool (ICT). Înregistrarea CVE publicată de Ivanti descrie un bypass de autentificare prin spoofing, cu execuție de comenzi fără autentificare, în versiunile anterioare lui 25.1.3.0. Versiunile 22.7R2.14 și mai vechi nu sunt afectate.
CISA a adăugat CVE-2026-104935 în catalogul KEV pe 13 octombrie, cu termen 16 octombrie pentru agențiile federale americane. NCSC-NL evaluează ca ridicate atât probabilitatea exploatării, cât și impactul. Agenția subliniază că echipamentul dă acces la rețeaua internă, deci și sistemele din spatele lui sunt expuse.
Ce versiuni rezolvă problema
Potrivit NCSC-NL și înregistrării CVE, corecțiile pe fiecare linie de versiuni sunt următoarele:
- ▸linia 22.8: 22.8R2.4 și mai vechi trec la 22.8R2.5. Pentru această linie, Ivanti recomandă trecerea la 25.1.1.2 sau mai nou, când este posibil;
- ▸linia 25.1.1: 25.1.1.1 și mai vechi trec la 25.1.1.2;
- ▸linia 25.1.2: 25.1.2.2 și mai vechi trec la 25.1.3.0 sau 25.1.3.1;
- ▸22.7R2.14 și mai vechi: neafectate, potrivit Ivanti.
Lanțul descris de Volexity
Rapid7 notează, citând Ivanti, că o parte a problemei fusese corectată deja în versiunea 25.1.3.0, din iulie, iar exploatarea a avut loc cât timp corecția era portată pe celelalte linii. Volexity a investigat un echipament compromis care rula 22.8R2.4 (build 19097), deci era la zi pe linia lui. Potrivit raportului, atacatorul a înlănțuit trei vulnerabilități: un bypass de autentificare în welcome.cgi, o scriere de fișier cu execuție de cod în wu.cgi și o escaladare de privilegii în componenta dsinvoked.
Primele două sunt urmărite împreună ca CVE-2026-104935 și au patch. A treia nu are încă CVE, iar Volexity spune că Ivanti o va corecta „într-o versiune viitoare, în săptămânile următoare”. Până pe 16 octombrie nu am găsit anunțul acestei corecții. Volexity nu a spus cât de periculoasă rămâne escaladarea după instalarea patch-ului. Ea servește la trecerea de la utilizatorul procesului web la root.
Potrivit Volexity, exploatarea a început pe 3 octombrie. BleepingComputer citează firma Defused, care a văzut primele semne pe 1 octombrie. Volexity urmărește actorul sub numele UTA0576, un grup necunoscut anterior, și apreciază cu încredere scăzută că motivația lui este criminală, nu de spionaj. Nici Ivanti, nici Volexity nu au spus câte organizații au fost atacate. BleepingComputer citează Shadowserver cu peste 5.500 de instanțe expuse în Internet, fără să se știe câte sunt honeypot-uri sau sunt deja actualizate.
De ce Integrity Checker Tool nu este suficient
Potrivit Volexity, exploitul modifică o bibliotecă doar în memorie și apoi restaurează datele de configurare pe care le-a schimbat. Fișierele de pe disc rămân neatinse, așa că ICT nu raportează nimic. Atacatorul nu a instalat webshell sau backdoor: a rulat tot lanțul din nou pentru fiecare comandă și a modificat jurnalele de depanare și de audit.
După acces, atacatorul a extras credențialele stocate pe echipament, inclusiv contul de serviciu LDAP. A căutat în Active Directory parole LAPS, chei de recuperare BitLocker și atribute care conțin parole, a rulat Kerberoasting și password spraying și a capturat trafic LDAP. Volexity apreciază cu încredere ridicată că activitatea pregătea mișcarea laterală în rețea. Prin urmare, riscul nu se oprește la VPN: ținta sunt credențialele de domeniu.
Ce faci azi
- ▸Inventariază toate echipamentele Ivanti Connect Secure, inclusiv cele administrate de furnizori, și notează versiunea și buildul exact care rulează.
- ▸Actualizează la versiunea corectată pentru linia ta și verifică versiunea după repornire. Urmărește anunțul Ivanti pentru corecția escaladării de privilegii.
- ▸Nu te baza doar pe ICT. În jurnalele din fața echipamentului (reverse proxy, WAF, firewall), caută volume mari de cereri către welcome.cgi și antete X-DSCGI-PATH care nu corespund căii cerute sau indică wu.cgi ori directoare temporare de upload, cum descrie Volexity.
- ▸Verifică dacă jurnalele de audit și de depanare ale echipamentului au goluri sau modificări neașteptate și dacă contul de serviciu LDAP s-a autentificat din surse neobișnuite.
- ▸Dacă bănuiești o compromitere, urmează pașii de recuperare Ivanti și fă analiză de memorie și de rețea. Apoi rotește credențialele stocate pe echipament și credențialele de domeniu expuse: contul LDAP, conturile de serviciu vulnerabile la Kerberoasting, parolele LAPS și cheile BitLocker interogate. NCSC-NL subliniază că patch-ul nu anulează o intruziune anterioară.
Închide alerta cu dovezi
Pentru fiecare echipament, păstrează versiunea dinainte și de după actualizare, data actualizării, rezultatul căutării în jurnale începând cu 1 octombrie și deciziile privind rotirea credențialelor. Notează separat termenul la care verifici corecția pentru escaladarea de privilegii. Termenul KEV de 16 octombrie se aplică agențiilor federale americane, nu companiilor private, dar arată prioritatea: trei zile pentru un gateway VPN expus.
Gateway-urile VPN sunt active critice
Urmărește în Awarely Monitor versiunile Ivanti, CVE-urile din KEV și dovezile remedierii. Actualizarea, analiza forensică și rotirea credențialelor rămân în instrumentele și procedurile voastre.