Ivanti Connect Secure: lanțul de trei defecte e acum în KEV
Pe 30 octombrie 2026, CISA a adăugat în KEV două vulnerabilități din Ivanti Connect Secure: CVE-2026-111357, o escaladare de privilegii cu termen federal luni, 2 noiembrie, și CVE-2026-118527, o încărcare de fișiere într-o locație cunoscută, cu termen 13 noiembrie. Intrările spun că fiecare poate fi înlănțuită cu CVE-2026-104935, defectul din lanțul descris de Volexity pe 13 octombrie.
Pe 29 octombrie, Ivanti a lansat și corecția pentru escaladarea de privilegii, partea care la 16 octombrie, în analiza noastră anterioară, era încă fără patch. Cine a instalat doar actualizările din 13 octombrie mai are o actualizare de făcut, iar verificarea de compromitere nu se oprește la Integrity Checker Tool.
Ce s-a schimbat de la 13 octombrie
Intrările KEV, citite direct în feed-ul CISA, descriu CVE-2026-111357 ca „missing authentication for critical function”: un atacator local autentificat poate obține privilegii mai mari. Termenul este 2 noiembrie, iar câmpul de triaj criminalistic este „Yes”. CVE-2026-118527, „generation of predictable numbers or identifiers”, permite unui atacator autentificat de la distanță să încarce fișiere cu conținut controlat într-o locație cunoscută de pe disc; termenul este 13 noiembrie, iar triajul criminalistic este „No”. Pentru ambele, utilizarea de ransomware figurează ca „necunoscută”.
Volexity a adăugat la postarea din 13 octombrie o notă: pe 29 octombrie, Ivanti a lansat patch-ul pentru escaladarea de privilegii, urmărită ca CVE-2026-111357. Restul textului nu a fost rescris, deci pasajele care spun că fixul lipsește sunt depășite. Textul alertei CISA din 30 octombrie nu menționează lanțul; legătura apare în notele intrărilor din catalog.
Ce versiuni rezolvă escaladarea
Potrivit Security Affairs, actualizările Ivanti mută 25.1.1.2 și versiunile mai vechi la 25.1.1.3, iar 22.8R2.5 și mai vechi la 22.8R2.6. Centrul Canadian pentru Securitate Cibernetică (AV26-1035, actualizat pe 30 octombrie) listează ca afectate versiunile Connect Secure dinainte de 25.1.1.3, dinainte de 25.1.3.1 și dinainte de 22.8R2.6, ceea ce sugerează că și linia 25.1.3 are o versiune nouă; nu am putut confirma 25.1.3.1 dintr-o a doua sursă. Pagina avizului Ivanti se încarcă numai cu JavaScript și nu am putut-o citi direct, așa că verifică tabelul de versiuni acolo înainte de a alege ținta.
Scorurile diferă între surse: înregistrarea CVE publicată pe 15 octombrie (citită prin OpenCVE) are CVSS 7,0 pentru CVE-2026-111357, iar Security Affairs raportează 8,8 și, pentru CVE-2026-118527, 4,3. Nu folosi scorul ca să decizi urgența: ambele CVE-uri sunt în KEV.
Ce se știe și ce nu
Înregistrarea CVE descrie pentru CVE-2026-111357 un defect de încredere în brokerul dsinvoked, care acceptă date de configurare DSCache fără validare suficientă și permite urcarea la root. Aceasta este verigă din lanțul Volexity, iar Centrul Canadian notează, într-o actualizare, rapoarte din surse deschise despre exploatarea ei.
Nu se știe cum se leagă CVE-2026-118527 de cei trei pași descriși de Volexity: postarea numește doar CVE-2026-104935 pentru primii doi, iar Security Affairs spune că ambele CVE-uri noi fac parte din lanț, fără o sursă pentru asta. Nici Ivanti, nici Volexity nu au spus câte organizații au fost atacate. Nu am găsit un raport independent care să descrie exploatarea separată a CVE-2026-118527; CISA o pune în KEV fără să publice dovada.
Ce verifici, chiar dacă ai actualizat
- ▸Integrity Checker Tool nu a detectat activitatea: potrivit Volexity, biblioteca a fost modificată doar în memorie, iar configurația a fost restaurată. Un rezultat curat nu închide ancheta.
- ▸Caută în jurnalele web cereri numeroase către /dana-na/auth/url_default/welcome.cgi cu antetul X-DSCGI-PATH care indică wu.cgi sau o cale din /home/runtime/tmp/, mai ales când calea din antet nu se potrivește cu cea din URL.
- ▸Verifică directorul ascuns /data/.icscap/, unde Volexity a găsit capturi de pachete și scripturi, un proces dsstatmond care era un tcpdump redenumit și fișiere Python temporare în /tmp.
- ▸Atacatorul a editat /home/runtime/dlogs/debuglog și /var/log/audit/audit.log, deci jurnalele locale ale echipamentului nu sunt dovadă suficientă; compară-le cu jurnalele externe (firewall, proxy, SIEM). Concluzia este a noastră, nu a vendorului.
- ▸Dacă bănuiești compromiterea, păstrează imagini de memorie și core dumps înainte de repornire: Volexity spune că ele au fost esențiale pentru reconstruirea lanțului.
- ▸În incidentul Volexity, atacatorul a furat credențiale stocate, inclusiv credențiale LDAP de domeniu, a căutat parole în Active Directory și a făcut password spraying. Verifică conexiunile spre 108.165.147[.]64 (adresa raportată de Volexity) și autentificările neobișnuite din AD.
Ce faci azi
- ▸Inventariază echipamentele Connect Secure și versiunile exacte (22.8R2.x, 25.1.x). Pentru CVE-2026-111357, ținta din sursele citite este 22.8R2.6 sau 25.1.1.3 (25.1.3.1 pe linia 25.1.3, după aviz).
- ▸Dacă ai instalat doar actualizările din 13 octombrie (22.8R2.5, 25.1.1.2), planifică acum a doua actualizare: potrivit versiunilor din Security Affairs, ele nu includ fixul pentru escaladare.
- ▸Pune echipamentele expuse la Internet pe primul loc. Dacă nu poți actualiza imediat, restrânge accesul de administrare și urmărește jurnalele externe; în sursele citite nu am găsit o soluție de ocolire.
- ▸Dacă ai orice indiciu de compromitere, rotește credențialele pe care echipamentul le poate folosi (conturi de legătură LDAP, secrete stocate). Recomandarea decurge din ce a furat atacatorul în incidentul Volexity, nu dintr-un aviz Ivanti.
- ▸Folosește termenele KEV (2 noiembrie și 13 noiembrie) ca reper intern, chiar dacă obligația formală se aplică doar agențiilor federale americane.
Închide alerta cu dovezi
Pentru fiecare echipament, păstrează versiunea înainte și după, data fiecărei actualizări (13 octombrie și a doua), rezultatul Integrity Checker Tool și al verificărilor din jurnale externe, imaginile de memorie păstrate, credențialele rotite și excepțiile rămase, cu motiv și termen. Cele două termene KEV diferă, 2 și 13 noiembrie: notează în registru care CVE a fost închis la ce dată.
Două actualizări, același echipament
Urmărește în Awarely Monitor versiunea fiecărui echipament Connect Secure, data fiecărei actualizări și dovezile verificărilor externe. Actualizarea și investigația rămân în sistemele voastre.