Lanț de zero-day în Ivanti Connect Secure oferă acces root — o corecție încă lipsește

Un atacator a înlănțuit trei vulnerabilități necunoscute anterior în Ivanti Connect Secure pentru a executa comenzi ca root pe echipamentul VPN, fără a se autentifica. Ivanti a lansat corecții pentru două dintre ele. A treia — pasul care ridică privilegiile la root — încă nu are patch.

Cercetarea a fost publicată pe 13 octombrie 2026 de firma de incident response Volexity, care a descoperit intruziunea pe echipamentul unui client și a raportat vulnerabilitățile către Ivanti. Ivanti confirmă o „exploatare limitată în mediul real".

Ce s-a întâmplat

Exploatarea a început pe 3 octombrie 2026, de către un actor pe care Volexity îl urmărește drept UTA0576.
Echipamentul victimei era complet actualizat la momentul atacului, pe versiunea 22.8R2.4 — un zero-day în toată regula.
Primele două vulnerabilități — un bypass de autentificare și o eroare de execuție de cod la distanță — sunt urmărite împreună ca CVE-2026-104935 (CVSS 8.6). Împreună permit executarea de cod ca utilizatorul cgi-server al echipamentului.
A treia vulnerabilitate, o escaladare locală de privilegii, ridică accesul la root. Ivanti spune că remedierea va veni într-o versiune viitoare, „în săptămânile următoare". Deocamdată nu a fost făcut public un identificator CVE pentru ea.
În înregistrarea CVE, CISA marchează exploatarea drept activă și impactul tehnic drept total.

Conform înregistrării CVE, sunt afectate versiunile Connect Secure anterioare 25.1.3.0. Versiunea 22.7R2.14 și anterioarele sunt listate ca neafectate, la fel ca 22.8R2.5, 25.1.3.0 și 25.1.3.1. Avizul de securitate Ivanti rămâne referința oficială pentru versiuni și corecții.

Ce a făcut atacatorul după intrare

În singurul incident investigat, atacatorul a extras credențialele stocate pe echipament — inclusiv credențiale LDAP de domeniu — a căutat parole în Active Directory și a lansat atacuri de tip password spraying asupra conturilor din domeniu. Nu a lăsat web shell sau backdoor; în schimb, a rulat din nou întregul lanț de exploatare pentru fiecare comandă.

Volexity evaluează motivația cu încredere scăzută: înclină spre infracționalitate cu scop financiar, nu spre spionaj. Nici Volexity, nici Ivanti nu au precizat câți clienți au fost atacați.

De ce contează

Echipamentele VPN de la marginea rețelei stau la granița infrastructurii și dețin cheile acesteia — credențiale de director, date de sesiune și o poziție de încredere în rețea. Trei aspecte fac acest caz deosebit de incomod:

Actualizat nu a fost suficient. Echipamentul compromis era la zi în momentul atacului.
Verificarea integrată nu îl detectează. Integrity Checker Tool (ICT) de la Ivanti nu vede acest lanț: exploit-ul modifică codul bibliotecilor doar în memorie și restaurează datele de configurare pe care le atinge, iar atacatorul a luat măsuri suplimentare pentru a rămâne ascuns. Un rezultat ICT curat nu dovedește un echipament curat.
Fără soluție temporară, fără garanție de curățare. Nu a fost publicată o măsură intermediară pentru cei care nu pot face upgrade și nici nu s-a confirmat dacă upgrade-ul elimină un atacator care are deja acces.

Pentru că atacatorul a vizat credențiale de director, un gateway VPN compromis trebuie tratat ca o posibilă compromitere a identităților din întregul domeniu, nu doar ca o problemă a unui echipament.

Ce trebuie să faci

Inventariază toate echipamentele Connect Secure și versiunea exactă. Prioritizează tot ce este sub 25.1.3.0.
Fă upgrade acum la o versiune pe care Ivanti o listează ca remediată pentru CVE-2026-104935 și urmărește avizul pentru corecția escaladării de privilegii — aplic-o imediat ce apare.
Caută indicatorii publicați (provin dintr-un singur incident — lipsa lor nu garantează siguranța):
- volume neobișnuit de mari de cereri către /dana-na/auth/url_default/welcome.cgi;
- cereri cu header-ul X-DSCGI-PATH a cărui valoare nu corespunde căii URL solicitate;
- existența directorului /data/.icscap/;
- conexiuni care implică 108.165.147[.]64.
Nu te baza doar pe ICT. Confirmarea unei compromiteri cere investigație criminalistică, inclusiv analiză de rețea și de memorie. Implică echipa de incident response dacă apare orice indicator.
Presupune expunerea credențialelor la orice suspiciune. Rotește credențialele LDAP și de cont de serviciu configurate pe echipament, verifică AD pentru tipare de password spraying și autentificări anormale și impune MFA pe tot ce este accesibil prin VPN.
Redu expunerea. Restricționează interfețele de administrare, trimite jurnalele echipamentului în SIEM și creează alerte pentru tiparele de mai sus.

În aceeași lansare Ivanti

Ivanti a remediat încă două vulnerabilități critice (fiecare cu CVSS 9.9), fără exploatare cunoscută: CVE-2026-106042 în Xtraction (versiunile anterioare 2026.4) și CVE-2026-109412 în Neurons Patch for Intune. Aplică-le în ritmul obișnuit pentru patch-uri critice.

Vrei să știi dacă perimetrul tău expus la internet — VPN-uri, gateway-uri, portaluri de acces la distanță — este vulnerabil? Evaluările de vulnerabilitate 4Tify identifică versiunile vulnerabile și configurările greșite înaintea atacatorilor.

Credit: The Hacker News. Detaliile tehnice provin din cercetarea Volexity și avizul de securitate Ivanti.