Lanț de exploatare în Ivanti Connect Secure: acces root fără autentificare

Încă două vulnerabilități din Ivanti Connect Secure (ICS) sunt acum confirmate oficial ca exploatate activ. Pe 30 octombrie 2026, agenția americană CISA (Cybersecurity and Infrastructure Security Agency) a adăugat CVE-2026-111357 și CVE-2026-118527 în catalogul Known Exploited Vulnerabilities (KEV). Ambele fac parte dintr-un lanț în trei pași care permite unui atacator fără credențiale să ajungă să ruleze cod ca root pe gateway-ul VPN.

Ce s-a întâmplat

Cele două vulnerabilități completează un lanț al cărui prim pas, ocolirea autentificării CVE-2026-104935 (CVSS 8,6), a fost făcut public și inclus în KEV pe 13 octombrie 2026. Activitatea este urmărită sub denumirea UTA0576, un grup fără istoric documentat anterior.

• CVE-2026-104935 (CVSS 8,6): ocolirea autentificării, poarta de intrare.
• CVE-2026-118527 (CVSS 4,3): identificatori previzibili permit unui atacator autentificat să scrie fișiere cu conținut ales într-o locație cunoscută de pe disc. În lanț, acesta devine pasul de execuție de cod.
• CVE-2026-111357 (CVSS 8,8): o funcție critică nu verifică autentificarea, iar un utilizator local autentificat își poate escalada privilegiile. Așa ajunge atacatorul la root.

Luată separat, vulnerabilitatea de scriere de fișiere, de severitate medie, pare minoră. Pusă după o ocolire a autentificării, devine puntea spre preluarea completă a echipamentului.

De ce contează

Atacatorul nu instalează web shell-uri sau malware. După ce obține root, colectează discret ce îi este util: credențiale stocate, metadate limitate din Active Directory, informații de recunoaștere despre host, parole de administrator și chei de recuperare BitLocker. Intruziunea devine astfel mai greu de observat și mai periculoasă. Un gateway VPN compromis ajunge să fie un inventar al cheilor către restul rețelei.

Ivanti a prioritizat livrarea remedierii pentru ocolirea autentificării, care întrerupe principala cale de exploatare, în timp ce patch-urile pentru escaladarea privilegiilor erau încă în lucru. Acestea sunt acum disponibile. Cele mai noi versiuni acoperă toate vulnerabilitățile din lanț. Agențiile civile federale din SUA trebuie să aplice remedierea pentru CVE-2026-111357 până pe 2 noiembrie 2026 și pentru CVE-2026-118527 până pe 13 noiembrie 2026.

Ce trebuie făcut

1. Actualizați imediat. ICS 25.1.1.2 și anterioare → 25.1.1.3. ICS 22.8R2.5 și anterioare → 22.8R2.6. Dacă nu ați corectat încă CVE-2026-104935, tratați situația ca pe o urgență.
2. Porniți de la ipoteza că gateway-ul ar fi putut fi folosit. Lipsa web shell-urilor nu dovedește nimic aici. Verificați jurnalele ICS pentru sesiuni autentificate neobișnuite, scrieri de fișiere neașteptate și activitate administrativă începând cu începutul lunii octombrie.
3. Rotiți tot ce putea atinge echipamentul. Schimbați credențialele conturilor de serviciu și de administrator folosite sau stocate pe gateway și regenerați cheile BitLocker pentru stațiile ale căror chei de recuperare ar fi putut fi accesibile.
4. Monitorizați Active Directory. Căutați enumerări ale directorului și autentificări noi care provin de la adresa echipamentului VPN.
5. Nu expuneți interfețele de administrare pe internet. Restricționați-le la o rețea dedicată administrării.

Echipamentele de perimetru precum ICS sunt printre cele mai vizate active ale unei organizații și adesea ultimele actualizate. Serviciul nostru de scanare a vulnerabilităților identifică gateway-urile VPN și de acces la distanță expuse pe internet care rulează versiuni depășite și semnalează versiunile afectate de CVE-uri exploatate activ, ca un echipament expus să fie găsit și corectat înaintea unui atacator.