Ivanti Connect Secure: zero-day CVE-2026-104935 exploatat

Pe 13 octombrie 2026 Ivanti a publicat actualizările pentru Ivanti Connect Secure (ICS), gateway-ul SSL VPN folosit de multe companii pentru accesul la distanță, care corectează CVE-2026-104935: o ocolire a autentificării care permite unui atacator de la distanță, neautentificat, să execute comenzi arbitrare pe appliance. Scorul CVSS v3.1 este 8,6 (severitate ridicată). Ivanti a confirmat o exploatare „limitată” la un număr redus de clienți și cere intervenție imediată.

În aceeași zi CISA a adăugat vulnerabilitatea în catalogul KEV, cu termen vineri, 16 octombrie, pentru agențiile federale americane, și a publicat un aviz adresat tuturor organizațiilor. Au urmat alertele NBSZ NKI (Ungaria, 14 octombrie) și SingCERT (Singapore, 20 octombrie).

Lanțul de atac

Vulnerabilitatea a fost descoperită de Volexity, care pe 5 octombrie a început să investigheze o activitate suspectă și a urmărit-o până la un appliance ICS complet actualizat, compromis din 3 octombrie. Firma de threat intelligence Defused a observat primele semne de exploatare încă din 1 octombrie.

Potrivit Volexity, atacatorii au înlănțuit trei vulnerabilități:

1. o ocolire a autentificării;
2. o execuție de cod de la distanță (RCE);
3. o escaladare de privilegii până la root.

Primele două intră sub CVE-2026-104935 și sunt corectate de actualizările din 13 octombrie. A treia este o problemă separată, încă necorectată: Ivanti o cunoaște și estimează o corecție „în următoarele săptămâni”.

Potrivit The Register, Ivanti corectase deja „o parte” din vulnerabilitate în iulie, în 25.1.3.0, dar atacurile au început înainte ca portarea pe celelalte ramuri să fie gata; Dark Reading subliniază că corecția din iulie a fost parțială.

Cine se află în spate și ce a făcut

Volexity atribuie atacurile unui grup necunoscut până acum, pe care îl numește UTA0576, și consideră, cu încredere scăzută, că are motivații infracționale mai degrabă decât de spionaj. Câteva detalii tehnice:

• niciun malware și niciun web shell: grupul a exploatat din nou vulnerabilitatea pentru fiecare comandă, folosind doar instrumentele existente pe appliance;
• manipularea jurnalelor pentru a-și acoperi urmele, prin care a ocolit Integrity Checker Tool (ICT) al Ivanti;
• furtul de credențiale și secrete din Active Directory, inclusiv parolele LAPS și cheile de recuperare BitLocker (detaliu publicat de BleepingComputer, care îl citează pe Volexity), precum și exfiltrare de date și recunoaștere a rețelei.

Potrivit Volexity (încredere ridicată), grupul pregătea mișcări laterale și o compromitere mai amplă, întreruptă odată cu descoperirea atacului.

În termeni MITRE ATT&CK: acces inițial prin T1190 (Exploit Public-Facing Application), escaladare prin T1068 (Exploitation for Privilege Escalation), ștergerea urmelor prin T1070 (Indicator Removal), apoi Credential Access (TA0006), Discovery (TA0007) și Exfiltration (TA0010).

Versiuni afectate și corectate

Sunt afectate:

• 22.8R2.4 și anterioarele;
• 25.1.1.1 și anterioarele;
• 25.1.2.2 și anterioarele.

Versiunile corectate sunt 22.8R2.5, 25.1.1.2, 25.1.3.0 și 25.1.3.1. Potrivit alertei maghiare, care preia indicațiile Ivanti, 22.7R2.14 și anterioarele nu sunt afectate; ramura 22.7 nu va mai fi suportată din 31 ianuarie 2027, iar 22.8 servește doar ca etapă spre 25.1, așa că e bine să planifici migrarea. Dacă nu poți trece imediat la 25.1, poți instala 22.8R2.5.

Indicatori și detecție

Avizul Ivanti nu conține indicatori de compromitere publici (adrese IP, domenii, hash-uri) și trimite la raportul Volexity. CISA avertizează că ICT s-ar putea să nu detecteze exploatarea, deoarece comenzile rulează în memorie: pentru a afla dacă un appliance a fost compromis sunt necesare analize forensice de rețea și de memorie.

Shadowserver numără peste 5.600 de gazde expuse pe Internet cu amprenta ICS, fără să știe câte sunt deja actualizate sau sunt honeypot-uri. The Hacker News relatează 105 încercări de exploatare înregistrate de honeypot-uri.

Impactul pentru companiile europene și italiene

VPN-urile SSL sunt punctul de intrare pentru angajați, furnizori și personal de mentenanță și, prin definiție, sunt expuse pe Internet. Cazul este delicat din două motive: escaladarea de privilegii rămâne deschisă, iar atacatorii vizează credențialele din Active Directory, care rămân valabile și după actualizarea appliance-ului.

Pentru entitățile NIS2, actualizarea face parte din gestionarea vulnerabilităților, cu termene documentate; o compromitere confirmată trebuie evaluată în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN, cu avertizare timpurie în 24 de ore pentru incidentele semnificative). În sănătate, unde VPN-ul servește adesea accesului la distanță al medicilor și al furnizorilor de dispozitive, furtul credențialelor de domeniu poate deschide drumul spre sistemele clinice.

Ce trebuie să faci acum

1. Actualizează fiecare appliance, inclusiv toate nodurile clusterelor de înaltă disponibilitate, la versiunea corectată a ramurii tale, apoi verifică versiunea și integritatea.
2. Rulează ICT, dar nu te baza doar pe rezultatul lui: caută autentificări anormale, modificări de configurație, conexiuni de ieșire neobișnuite și goluri în jurnale.
3. Păstrează dovezile înainte de a interveni și, dacă ai dubii, cere o analiză a rețelei și a memoriei.
4. Dacă descoperi o compromitere, urmează indicațiile CISA: salvează configurația, fă o resetare la setările din fabrică și actualizează (pentru instanțele cloud și virtuale, reconstruiește-le), restaurează configurația, resetează parolele tuturor conturilor (domeniu, administratori, locale), revocă și reemite certificatele, schimbă cheile API și credențialele serverului de licențe.
5. Verifică Active Directory: citiri ale parolelor LAPS și ale cheilor BitLocker, autentificări de la adresa internă a VPN-ului, conturi sau privilegii noi.
6. Urmărește avizul Ivanti pentru corecția escaladării de privilegii și instaleaz-o imediat ce apare.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet și care au vulnerabilități cunoscute, ca să știi imediat dacă un gateway de acces la distanță este accesibil din exterior. ARX Sentry colectează jurnalele firewall-urilor și ale dispozitivelor de rețea într-un colector central, în afara appliance-ului: manipularea jurnalelor locale nu șterge ce a fost deja trimis. Paginile despre identități din ARX Sentry evidențiază accesele privilegiate, rafalele de încercări și modificările conturilor, utile pentru a recunoaște folosirea credențialelor furate.

Ultima actualizare: 20 octombrie 2026