CISA: actualizați imediat Ivanti Connect Secure — CVE-2026-104935 este exploatată activ

Ivanti Connect Secure (ICS) este din nou în prima linie. CISA le cere organizațiilor să își actualizeze imediat echipamentele VPN ICS. Motivul este o vulnerabilitate de ocolire a autentificării, CVE-2026-104935 (CVSS 8,6), confirmată ca exploatată activ. Datele din honeypot-uri arată că valul de scanări a început deja.

Ce s-a întâmplat

Vulnerabilitatea. CVE-2026-104935 permite unui atacator de la distanță, neautentificat, să ocolească autentificarea și să execute comenzi arbitrare pe echipament. Sunt afectate versiunile ICS 25.1.1.1 și anterioare, 25.1.2.2 și anterioare și 22.8R2.4 și anterioare.
Exploatată ca zero-day. Potrivit CISA, atacatorii au folosit-o pentru a fura credențiale și a exfiltra date. Vulnerabilitatea a fost adăugată în catalogul Known Exploited Vulnerabilities (KEV), iar agențiile federale civile din SUA au termen de remediere până pe 16 octombrie 2026.
Prima activitate: 3 octombrie. Volexity a observat primele exploatări pe 3 octombrie 2026. Le atribuie unui grup nou identificat, UTA0576, care a combinat ocolirea autentificării cu o altă vulnerabilitate de escaladare a privilegiilor ca să obțină acces root fără autentificare. Volexity apreciază că grupul are motivații financiare, nu de spionaj.
Ce au făcut atacatorii după intruziune. Au extras credențialele stocate pe echipament și au exfiltrat metadate limitate din Active Directory. Au instalat instrumente pentru Kerberoasting și testarea credențialelor, au capturat trafic LDAP și au rulat un script Python care căuta parole de administrator și chei de recuperare BitLocker. Au modificat selectiv jurnalele și au șters urmele ca să își ascundă activitatea.
Scanarea în masă a început. Previdian a înregistrat 105 tentative de exploatare asupra honeypot-urilor sale până pe 14 octombrie, de la 50 de adrese IP unice din Singapore și SUA. Atacatorii folosesc header-ul X-DSCGI-PATH ca să ajungă la un handler CGI intern și să încarce scripturi Perl deghizate în fișiere ZIP. Deocamdată, payload-urile mai mult verifică dacă execuția de cod funcționează și nu instalează încă malware. Previdian se așteaptă ca atacurile complet „armate” să urmeze rapid.

De ce contează

Un echipament ICS se află la marginea rețelei și deține credențiale VPN și acces la directorul organizației. Compromiterea lui îi oferă atacatorului un punct de sprijin de încredere, direct către Active Directory. Comportamentul observat după intruziune (Kerberoasting, interceptare LDAP, căutarea cheilor BitLocker) este tipic pentru pregătirea unui atac ransomware sau a unui furt masiv de date. Atacatorii modifică și jurnalele, așa că un echipament care pare curat poate să nu fie. În plus, ramura 22.8 ajunge la sfârșitul suportului pe 31 ianuarie 2027: echipele care o folosesc au nevoie și de un plan de migrare, nu doar de un patch.

Ce trebuie să faceți

Inventariați și actualizați acum. Identificați toate echipamentele ICS, inclusiv instanțele cloud și virtuale, și treceți-le pe versiunea corectată. Folosiți ghidul Ivanti Upgrade and Migration Compatibility Guide ca să alegeți calea potrivită.
Dacă ați rămas neactualizați după 3 octombrie, porniți de la premisa că ați fost expuși. CISA precizează că o compromitere se confirmă doar prin analiză forensică de rețea și de memorie. Nu vă bazați doar pe jurnalele echipamentului.
Dacă găsiți o compromitere, reconstruiți echipamentul în loc să-l curățați. Faceți backup la configurație, resetați echipamentul la setările din fabrică (sau reconstruiți instanța virtuală), actualizați-l la ultima versiune, apoi restaurați configurația.
Schimbați tot ce a atins echipamentul. Resetați parolele conturilor de domeniu, de administrator și locale. Revocați și reemiteți certificatele stocate. Resetați cheile API și credențialele serverului de licențe.
Căutați urme în rețeaua internă. Urmăriți semnele de Kerberoasting (rafale de cereri TGS RC4), interogările LDAP neobișnuite venite de la IP-ul echipamentului VPN și accesările atributelor de recuperare BitLocker din AD.
Monitorizați perimetrul. Setați alerte pentru cererile care conțin header-ul X-DSCGI-PATH și pentru traficul de la IP-urile publicate în avertismente.
Planificați migrarea de pe 22.8 înainte de termenul din ianuarie 2027.

Vreți să aflați dacă perimetrul vostru expune un echipament VPN vulnerabil? Evaluările de vulnerabilități 4Tify identifică echipamentele de margine expuse la internet și semnalează CVE-urile exploatate activ, ca echipa voastră să acționeze înaintea atacatorilor.

Credit: acest rezumat se bazează pe relatarea The Hacker News, care citează avertismentele și cercetările CISA, Volexity și Previdian.