Ivanti Connect Secure: încă două vulnerabilități exploatate

Pe 30 octombrie 2026, CISA a adăugat în catalogul Known Exploited Vulnerabilities (KEV) două noi vulnerabilități din Ivanti Connect Secure (ICS), gateway-ul SSL VPN aflat deja în centrul campaniei din octombrie bazate pe CVE-2026-104935, pe care am descris-o în articolele anterioare. Noile intrări sunt CVE-2026-118527, care permite încărcarea de fișiere pe appliance, și CVE-2026-111357, o escaladare de privilegii până la root. CISA confirmă exploatarea activă a amândurora.

Acest articol prezintă doar ce spun fișa KEV și baza de date NVD: deocamdată sunt singurele surse despre aceste două CVE.

CVE-2026-111357: escaladare de privilegii până la root

Potrivit descrierii publicate în NVD, Ivanti Connect Secure 22.8R2.4 gestionează greșit modul în care brokerul dsinvoked are încredere în datele de configurare DSCache: un defect care duce la o escaladare de privilegii până la root, exploatată în atacuri reale în octombrie 2026.

Detalii tehnice din fișa NVD (publicată pe 15 octombrie, ultima modificare pe 30 octombrie, stare „Analyzed”):

• CVSS v3.1: 7,0 (ridicat), vector AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H, scor furnizat de MITRE: atac local, complexitate ridicată, privilegii reduse deja necesare, impact ridicat asupra confidențialității, integrității și disponibilității;
• slăbiciune CWE-829 (includerea de funcționalități dintr-o sferă de control nesigură);
• versiuni afectate conform configurației NVD: ramura 22.8 și versiunile din ramura 25.1 de la 25.1.0.0 până la 25.1.1.3, exclusiv.

Sursele nu sunt de acord asupra tipului de defect: catalogul KEV clasifică CVE-ul drept „Missing Authentication for Critical Function” (lipsa autentificării pentru o funcție critică), în timp ce NVD indică CWE-829.

Printre referințe, NVD trimite la avizul Ivanti despre CVE-2026-104935 și la raportul Volexity din 13 octombrie despre exploatarea în lanț a unor zero-day în Ivanti Connect Secure, același raport pe care se bazau articolele noastre anterioare.

În termeni MITRE ATT&CK, escaladarea corespunde tehnicii T1068 (Exploitation for Privilege Escalation).

CVE-2026-118527: încărcare de fișiere într-o locație cunoscută

Potrivit fișei KEV, Ivanti Connect Secure conține o vulnerabilitate de generare de numere sau identificatori previzibili care permite unui atacator de la distanță autentificat să încarce fișiere cu conținut ales de el într-o locație cunoscută de pe disc. CISA adaugă că această vulnerabilitate poate fi înlănțuită cu CVE-2026-104935 și cu CVE-2026-111357.

La momentul colectării, CVE-ul nu era încă în NVD: nu există deci scor CVSS, listă a versiunilor afectate sau referințe tehnice publice. Sursele nu spun ce rol are fiecare dintre cele trei CVE în lanț.

Termenele CISA

Pentru agențiile federale americane, CISA stabilește termene foarte strânse:

• CVE-2026-111357: până pe 2 noiembrie 2026, la trei zile după includerea în catalog;
• CVE-2026-118527: până pe 13 noiembrie 2026.

Acțiunea cerută este aceeași pentru ambele: aplicarea măsurilor de atenuare conform instrucțiunilor Ivanti, cu respectarea directivei BOD 26-04 privind prioritizarea actualizărilor în funcție de risc și a cerințelor CISA de triaj criminalistic; dacă măsurile de atenuare nu sunt disponibile, renunțarea la utilizarea produsului. CISA cere, de asemenea, evaluarea expunerii la Internet a fiecărui appliance. Utilizarea în campanii ransomware este indicată ca „necunoscută”.

Impactul pentru companiile europene și italiene

ICS este, prin definiție, un punct de acces de la distanță expus la Internet. Includerea a două noi CVE în catalogul KEV, la două săptămâni după CVE-2026-104935, înseamnă că instalarea corecțiilor de la jumătatea lui octombrie nu este suficientă pentru a considera problema închisă: sunt vulnerabilități distincte, iar pentru CVE-2026-111357 configurația NVD indică drept afectată și versiunea 22.8R2.4.

Pentru entitățile NIS2, catalogul KEV este un criteriu de prioritizare documentabil în gestionarea vulnerabilităților; o compromitere confirmată trebuie evaluată în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia al ACN). În sănătate, unde VPN-ul servește adesea accesului de la distanță al medicilor și furnizorilor, un gateway compromis cu privilegii root este o poartă de intrare în rețeaua internă.

Ce faci imediat

1. Fă inventarul appliance-urilor ICS, inclusiv toate nodurile din clustere, cu ramura și versiunea exactă (22.8, 25.1).
2. Consultă avizul Ivanti și aplică măsurile de atenuare și actualizările pentru CVE-2026-111357 și CVE-2026-118527: sursele acestui articol nu indică ce versiuni corectează cele două defecte, așa că verifică direct în aviz.
3. Nu te opri la CVE-2026-104935: dacă ai actualizat deja la jumătatea lui octombrie, verifică dacă versiunea instalată acoperă și cele două CVE noi.
4. Fă o analiză criminalistică a appliance-urilor expuse, așa cum cere CISA. Include fișierele de pe disc, deoarece CVE-2026-118527 permite scrierea de fișiere cu conținut ales de atacator, și ține minte că, pentru atacurile de la începutul lui octombrie, CISA avertizase că Integrity Checker Tool de la Ivanti ar putea să nu detecteze exploatarea.
5. Dacă nu poți aplica măsurile de atenuare, ia în calcul deconectarea appliance-ului, așa cum prevede CISA pentru agențiile federale.
6. Dacă descoperi o compromitere, urmează instrucțiunile de recuperare ale Ivanti și schimbă credențialele care trec prin appliance, începând cu cele din Active Directory.

Cum te ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet și care au vulnerabilități cunoscute, ca să știi imediat dacă un gateway de acces de la distanță poate fi accesat din exterior. ARX Sentry trimite jurnalele firewall-urilor și ale dispozitivelor de rețea într-un colector central, în afara appliance-ului, unde rămân disponibile pentru analiză chiar dacă jurnalele locale sunt modificate. ARX Horizon îmbogățește fiecare eveniment cu țara, operatorul, listele de amenințări și vulnerabilitățile, ca să citești conexiunile către gateway în contextul potrivit.

Ultima actualizare: 30 octombrie 2026