Luka w Ivanti Connect Secure wywołuje ostrzeżenie CISA, ale samo łatanie nie wystarczy
Ivanti stoi przed koniecznością pilnej reakcji po tym, jak atakujący wykorzystali lukę w Ivanti Connect Secure przeciwko w pełni zaktualizowanym urządzeniom jeszcze przed jej ujawnieniem 13 października. Tego samego dnia CISA dodała CVE-2026-104935 do katalogu Known Exploited Vulnerabilities. Luka pozwala zdalnemu atakującemu ominąć uwierzytelnianie i wykonywać dowolne polecenia bez interakcji użytkownika.
Natychmiastowe zalecenie jest proste: zainstalować poprawioną wersję Ivanti. Trudniejszym problemem jest ustalenie, czy atakujący już uzyskali dostęp, wykradli poświadczenia i usunęli najbardziej oczywiste ślady. Śledczy ustalili, że zaobserwowany operator wielokrotnie wykorzystywał urządzenia zamiast instalować konwencjonalny backdoor.
Takie zachowanie podważa znany schemat reakcji „załataj i przeskanuj”. Poprawka zamyka ujawnioną ścieżkę wejścia, lecz nie unieważnia wykradzionych sekretów ani nie dowodzi, że urządzenie było wcześniej czyste. W przypadku wystawionych na internet bram VPN usunięcie skutków wymaga teraz zarówno utrzymania oprogramowania, jak i dochodzenia dotyczącego incydentu.
CISA nadaje luce w Ivanti Connect Secure rangę sytuacji awaryjnej
Ostrzeżenie CISA zmienia CVE-2026-104935 z teoretycznej słabości oprogramowania w potwierdzony priorytet reagowania na incydenty.
W federalnym ostrzeżeniu z 13 października agencja informuje, że aktorzy zagrożeń wykorzystują lukę do kradzieży poświadczeń i eksfiltracji danych. CISA umieściła też tę wadę w katalogu Known Exploited Vulnerabilities, powszechnie nazywanym KEV.
Wpis na liście KEV ma większe znaczenie operacyjne niż zwykłe powiadomienie o podatności. Oznacza, że CISA dysponuje dowodami, iż atakujący wykorzystują tę lukę poza środowiskiem laboratoryjnym. Federalne agencje cywilne muszą usuwać wpisy KEV zgodnie z wiążącymi wymogami federalnymi.
Objęte problemem produkty znajdują się w szczególnie wrażliwym punkcie sieci przedsiębiorstw. Ivanti Connect Secure jest bramą zdalnego dostępu, która łączy użytkowników z wewnętrznymi aplikacjami i zasobami chmurowymi. Musi przyjmować ruch z internetu, jednocześnie utrzymując zaufane połączenia z wewnętrznymi systemami tożsamości.
To umiejscowienie sprawia, że skuteczne ominięcie uwierzytelniania ma wyjątkowo poważne konsekwencje. Atakujący nie zaczyna od zwykłej stacji roboczej pracownika. Zaczyna od urządzenia zaprojektowanego do pośredniczenia w dostępie między internetem a chronionymi usługami.
CVE-2026-104935 ma wynik CVSS 8.6. Jest sklasyfikowana jako obejście uwierzytelniania przez spoofing, co oznacza, że urządzenie błędnie ufa informacjom używanym do kierowania żądaniem. Wykorzystanie wymaga niskiego poziomu złożoności, nie wymaga istniejącego konta ani interakcji ofiary.
Ivanti podaje, że zagrożone są następujące wersje:
Wersja 25.1.1.1 i wcześniejsze w tej linii kodu
Wersja 25.1.2.2 i wcześniejsze w tej linii kodu
Wersja 22.8R2.4 i wcześniejsze w tej linii kodu
Dostępne poprawione wersje obejmują 25.1.1.2, 25.1.3.0, 25.1.3.1 oraz 22.8R2.5. Administratorzy muszą dopasować aktualizację do wdrożonej gałęzi i potwierdzić bieżące wytyczne w biuletynie bezpieczeństwa.
Ivanti informuje, że wersje 22.7.x i wcześniejsze nie są dotknięte tą konkretną podatnością. Tego stwierdzenia nie należy interpretować jako ogólnego zapewnienia o wsparciu lub bezpieczeństwie starszego oprogramowania. Organizacje muszą osobno sprawdzić status cyklu życia oraz inne podatności dotyczące używanej przez nie wersji.
Firma podała, że w chwili ujawnienia luki wiedziała o ograniczonym zakresie wykorzystania. „Ograniczony” opisuje przypadki znane Ivanti, a nie całkowitą liczbę przejętych urządzeń. Zaawansowani operatorzy często minimalizują artefakty, podczas gdy wiele organizacji nie dysponuje pełną telemetrią z urządzeń sieciowych.
Ekspozycja na internet zwiększa pilność sprawy. Shadowserver śledził ponad 5 500 pozornych instancji Connect Secure dostępnych online po ujawnieniu informacji. Ta liczba może obejmować honeypoty, zduplikowane obserwacje i systemy, które już otrzymały aktualizację.
Liczba ta nadal ilustruje osiągalną powierzchnię ataku. Gdy wiedza techniczna się rozprzestrzeni, atakujący mogą skanować podatne bramy znacznie szybciej, niż wiele przedsiębiorstw potrafi zaplanować prace utrzymaniowe. Wystawione urządzenie jest więc zagrożone zarówno przez pierwotnego operatora, jak i późniejszych naśladowców.
Dlatego CISA użyła słowa „natychmiast”. Standardowe miesięczne cykle łatania zakładają, że obrońcy mają czas na testowanie, planowanie i wdrożenie aktualizacji. Potwierdzone wykorzystanie luki zero-day eliminuje to założenie.
Aktualizacja jest jednak dopiero pierwszą decyzją. Zaobserwowana kampania rozpoczęła się przed publicznym ujawnieniem i była wymierzona w urządzenie z najnowszą dostępną wersją. Każda dotknięta problemem organizacja musi więc zapytać, kiedy rozpoczęła się ekspozycja, a nie tylko kiedy zainstalowano poprawkę.
Atakujący uzyskali dostęp roota bez logowania
Exploit zadziałał, ponieważ trzy słabości utworzyły łańcuch, przekształcając jedno publiczne żądanie logowania w wykonywanie poleceń na poziomie roota.
Volexity odkryło tę aktywność podczas dochodzenia rozpoczętego 5 października. Badacze firmy powiązali podejrzane zachowanie z urządzeniem Ivanti Connect Secure działającym pod kontrolą wersji 22.8R2.4, Build 19097. W tamtym czasie wydanie to było w pełni załatane.
Firma ustaliła, że wykorzystanie trwało od 3 października. Inny dostawca informacji o zagrożeniach miał podobno zaobserwować powiązane sygnały już od 1 października. Publiczne ujawnienie i poprawki pojawiły się 13 października, pozostawiając istotny okres nieznanej ekspozycji.
Volexity śledzi niezidentyfikowanego operatora pod nazwą UTA0576. Etykieta ta identyfikuje klaster aktywności, a nie potwierdzoną organizację ani sponsora rządowego. Firma z niską pewnością oceniła, że zaobserwowana operacja była motywowana przestępczo, a nie szpiegostwem.
Pierwszy krok wykorzystywał mechanizm routingu żądań wokół welcome.cgi, publicznego komponentu obsługującego stronę logowania urządzenia. Atakujący podawali inną ścieżkę w nagłówku X-DSCGI-PATH. Urządzenie sprawdzało publiczny URL pod kątem autoryzacji, ale używało nagłówka do wyboru miejsca docelowego.
Ta niespójność kierowała nieuwierzytelnione żądanie do wu.cgi, chronionej procedury obsługi przesyłania plików. Rezultatem było obejście uwierzytelniania. Komponent, który miał znajdować się za kontrolami logowania, stał się dostępny przez publiczne żądanie.
Drugi krok wykorzystywał krótkotrwały wyścig w obsłudze plików. Warunek wyścigu występuje, gdy bezpieczeństwo zależy od tego, która z dwóch operacji zakończy się pierwsza. W tym przypadku procedura obsługi przesyłania zapisywała dostarczony plik przed zweryfikowaniem, czy był prawidłowym archiwum ZIP.
Atakujący przesłał skrypt Perl z rozszerzeniem .zip. Procedura ostatecznie odrzucała i usuwała nieprawidłowy plik. Plik istniał jednak przez krótki czas na dysku przed usunięciem.
UTA0576 wysyłał równoległe żądania próbujące wykonać plik tymczasowy w tym oknie czasowym. Powtarzanie tych żądań zwiększało szansę, że jedno z nich dotrze przed oczyszczeniem. Pomyślne dobranie czasu zapewniało wykonanie kodu na ograniczonym koncie cgi-server.
Ivanti objęło kroki obejścia uwierzytelniania i zdalnego wykonania kodu identyfikatorem CVE-2026-104935. Wydania z 13 października naprawiają te części łańcucha. Trzeci krok, który podnosił uprawnienia do roota, jest obsługiwany oddzielnie.
W celu eskalacji uprawnień operator manipulował sposobem, w jaki uprzywilejowana usługa działająca w tle ufała danym konfiguracyjnym. Exploit modyfikował bibliotekę Ivanti w pamięci procesu. Następnie przekierowywał legalne zadanie konserwacyjne do złośliwego skryptu Perl.
Uprzywilejowana usługa wykonywała ten skrypt jako root. Dostęp roota daje operatorowi najwyższy praktyczny poziom kontroli nad bazowym urządzeniem. Exploit sprawdzał powodzenie, testując możliwość odczytu /etc/shadow, który przechowuje chronione informacje o hasłach w systemach Linux.
Operator następnie przywracał zmodyfikowaną konfigurację i instrukcję w pamięci. Usuwał także wybrane wpisy z dzienników debugowania Ivanti oraz dzienników audytu Linuxa. Działania te ograniczały ilość dowodów pozostawianych po każdym poleceniu.
Pełna rekonstrukcja techniczna pokazuje, że atak nie był pojedynczym żądaniem z jednym trwałym payloadem. Operator ponownie uruchamiał łańcuch exploitów za każdym razem, gdy potrzebował wykonać kolejne polecenie.
Metoda ta jest uciążliwa, ale daje atakującemu przewagę defensywną. Śledczy nie znaleźli na przejętym urządzeniu backdoora pierwszego etapu ani konwencjonalnej powłoki webowej. Polecenia i ich wyniki były przesyłane przez żądania HTTPS exploitu.
Niektóre etapy payloadu istniały wyłącznie w pamięci. Jeden etap rozpakowywał skompresowany skrypt Python zakodowany w Base64 i wykonywał go bez zachowywania surowego skryptu na dysku. Wykonywanie wyłącznie w pamięci ogranicza to, co zwykłe skanowanie oparte na plikach może później odzyskać.
Volexity podało, że łańcuch omijał również narzędzie Ivanti Integrity Checker Tool. Narzędzie to szuka nieoczekiwanych zmian w plikach, ale atak tymczasowo zmieniał pamięć i dane konfiguracyjne. Exploit przywracał te zmiany po uzyskaniu dostępu roota.
To rozróżnienie ma znaczenie dla każdej dotkniętej problemem organizacji. Kontrola integralności, która nie zwraca nieoczekiwanych modyfikacji plików, nie dowodzi, że wykorzystanie nigdy nie miało miejsca. Odpowiada jedynie na węższe pytanie, do którego badania narzędzie zostało zaprojektowane.
Kradzież poświadczeń uczyniła VPN punktem startowym
UTA0576 wykorzystał przejętą bramę, aby uzyskać dostęp do danych tożsamości, przekształcając lukę w urządzeniu w szerszy problem dostępu do przedsiębiorstwa.
Aktywność operatora po wykorzystaniu luki koncentrowała się na poświadczeniach, informacjach katalogowych, rekonesansie sieciowym i wynoszeniu danych. Działania te sugerują przygotowanie do przemieszczania się poza urządzenie VPN. Volexity podało, że kampania została zakłócona, zanim ostateczny cel atakującego stał się jasny.
Głównym celem był Active Directory. Active Directory to usługa katalogowa Microsoft służąca do zarządzania tożsamościami przedsiębiorstwa, komputerami, uprawnieniami i uwierzytelnianiem. Urządzenie VPN często łączy się z nią za pomocą konta usługi, aby można było weryfikować zdalnych użytkowników.
UTA0576 wykorzystywał dostęp urządzenia do wykonywania zapytań do wewnętrznego kontrolera domeny. Śledczy odzyskali niestandardowe narzędzie LDAP i powiązane skrypty Python. LDAP to protokół używany do wyszukiwania i zarządzania informacjami katalogowymi.
Operator wyszukiwał kilka cennych rodzajów danych:
Poświadczenia Local Administrator Password Solution
Informacje odzyskiwania BitLocker
Atrybuty zawierające zapisane wartości haseł
Metadane kont użytkowników i ścieżki skryptów logowania
Prawidłowe nazwy użytkowników znalezione w rekordach uwierzytelniania
Local Administrator Password Solution, czyli LAPS, zarządza hasłami lokalnego administratora na urządzeniach z Windows. Informacje odzyskiwania BitLocker mogą odblokować zaszyfrowane dyski Windows. Kradzież któregokolwiek z tych danych może rozszerzyć dostęp długo po załataniu podatnego VPN.
Atakujący kompresował i kodował wyniki katalogowe przed przesłaniem ich przez kanał exploitu. Volexity z wysoką pewnością oceniło, że operator wyeksfiltrował informacje dostępne za pośrednictwem ukierunkowanych zapytań do Active Directory.
UTA0576 badał również przechwycone pakiety przechowywane na urządzeniu. Operator uruchomił parser zaprojektowany do wyszukiwania poświadczeń i materiału do łamania haseł w zarejestrowanym ruchu sieciowym. Jego cele obejmowały poświadczenia LDAP w postaci zwykłego tekstu, poświadczenia HTTP Basic Authentication oraz hashe challenge-response NTLM.
Skróty NTLM mogą wspierać ataki offline na hasła lub inne techniki nadużywania poświadczeń. Ryzyko zależy od konfiguracji organizacji, jakości haseł i mechanizmów kontroli uwierzytelniania. Ich pozyskanie nadal tworzy obciążenie związane z naprawą wykraczające poza aktualizację jednego urządzenia.
Śledczy znaleźli narzędzie do przechwytywania pakietów o zmienionej nazwie, uruchomione z ukrytego katalogu. Filtrowało ono ruch związany z protokołami przesyłającymi dane jawnym tekstem, w tym LDAP, HTTP, FTP i Telnet. Osiem rotacyjnych plików przechwytywania ograniczało wykorzystanie pamięci masowej, stale zastępując starszy ruch.
Kampania obejmowała również wewnętrzne zapytania DNS oraz rozpoznanie nazw hostów. Operator użył skryptu pomocniczego do password sprayingu przeciwko kontom Active Directory. Password spraying polega na testowaniu niewielkiego zestawu prawdopodobnych haseł na wielu kontach, aby uniknąć powtarzających się niepowodzeń wobec jednej nazwy użytkownika.
Działania te pokazują, dlaczego urządzenie brzegowe może stać się cennym punktem pozyskiwania danych wywiadowczych. Obsługuje przepływy uwierzytelniania i widzi ruch sieciowy, którego zwykłe punkty końcowe mogą nigdy nie otrzymać. Jego przejęcie zapewnia zarówno punkt wejścia, jak i platformę do obserwowania wewnętrznych zależności.
Zaobserwowany operator przeszukiwał również katalogi konfiguracji VPN i dzienniki uwierzytelniania. Zapisy te mogą ujawniać metody uwierzytelniania, nazwy użytkowników, domeny wewnętrzne i połączone usługi. Nawet nieskuteczne wyszukiwania mogą pomóc atakującemu zaplanować kolejny etap.
To jest kluczowe odwrócenie ról opisane w ostrzeżeniu CISA. Organizacje kupują bramę zdalnego dostępu, aby egzekwować granice tożsamości. W tym incydencie brama stała się drogą obejścia uwierzytelniania, a następnie źródłem dodatkowych materiałów uwierzytelniających.
Ryzyko nie ogranicza się do lokalnych kont urządzenia. Administratorzy muszą uwzględnić każdy sekret, który urządzenie przechowywało, przesyłało, przechwyciło lub do którego mogło uzyskać dostęp przez zintegrowane konto usługi. Istotny zakres może obejmować poświadczenia katalogowe, klucze odzyskiwania, tokeny i hasła użytkowników.
Rotacja poświadczeń musi wynikać z dowodów i architektury. Zresetowanie każdego konta bez planu może zakłócić działalność, a jednocześnie pominąć mniej widoczne poświadczenia usług. Zespoły powinny zidentyfikować integracje urządzenia i nadać priorytet sekretom zapewniającym uprzywilejowany lub wielokrotnie używalny dostęp.
Organizacje powinny również przeanalizować aktywność pochodzącą z bramy. Skuteczny exploit może sprawić, że złośliwe połączenia będą wyglądały na pochodzące z zaufanego urządzenia sieciowego. Systemy dalszego szczebla mogą traktować takie połączenia inaczej niż zwykły ruch internetowy.
Volexity znalazło oznaki przygotowań do ruchu bocznego, czyli przemieszczania się z początkowego urządzenia do innych systemów. Nie twierdziło, że każda zaobserwowana technika zakończyła się sukcesem. Nie ustaliło również ostatecznego celu operatora.
Ta niepewność powinna zawężać wnioski, a nie opóźniać działania ograniczające skutki incydentu. Obrońcy mają potwierdzone dowody kradzieży poświadczeń i eksfiltracji danych z co najmniej jednego badanego środowiska. Nie powinni zakładać, że zaktualizowane urządzenie kończy wszystkie konsekwencje wcześniejszego dostępu.
Łatanie zamyka punkt wejścia, a nie kończy dochodzenie
Główny konflikt dotyczy teraz łatania i dowodów: instalacja poprawionego oprogramowania jest konieczna, ale nie może ustalić, czy wcześniejsze wykorzystanie luki zakończyło się sukcesem.
Ivanti zaleca klientom natychmiastową aktualizację oraz regularne uruchamianie swojego Integrity Checker Tool. Te kroki ograniczają ekspozycję i mogą wykryć niektóre formy manipulacji. Nie obejmują jednak każdej techniki udokumentowanej w tym incydencie.
Volexity ustaliło, że operator usuwał wybrane wpisy dzienników i przywracał tymczasowe zmiany. Atakujący usuwał również skrypty i wyniki ich wykonania po użyciu. Kilka ważnych komponentów działało wyłącznie w pamięci.
To zachowanie utrudniające analizę śledczą zmienia wartość czystego wyniku skanowania. Oczekiwany wynik może oznaczać, że urządzenie jest czyste. Może też oznaczać, że atakujący uniknął artefaktów mierzonych przez wybrane narzędzie.
Analiza odpowiedzi Rapid7, response analysis, zaleca zatem szukanie śladów naruszenia po zastosowaniu aktualizacji. Organizacje, które zidentyfikują podejrzaną aktywność, powinny postępować zgodnie z wytycznymi Ivanti dotyczącymi odzyskiwania oraz zachować przydatne dowody.
Telemetria sieciowa może dostarczyć wskazówek, gdy dzienniki urządzenia nie wystarczają. Volexity zaleca szukanie nietypowych wolumenów żądań do publicznej ścieżki welcome.cgi. Obrońcy mogą także badać rozbieżności między żądanym URL a nagłówkiem X-DSCGI-PATH.
Wskaźniki te są wartościowe, ale niepełne. Atakujący mogą dostosować ścieżki, harmonogram, infrastrukturę i polecenia wykonywane po uzyskaniu dostępu. Brak jednego opublikowanego wzorca nigdy nie powinien stać się uniwersalnym testem potwierdzającym bezpieczeństwo.
Pozyskanie pamięci może ujawnić ulotne artefakty pomijane przez kontrole dysku. Jednak zbieranie pamięci z produkcyjnej bramy wymaga odpowiednich procedur i specjalistycznej wiedzy. Nieostrożny restart lub przebudowa może zniszczyć dowody potrzebne do zrozumienia incydentu.
Tworzy to kompromis operacyjny. Zespoły chcą szybko wyłączyć podatne urządzenie z eksploatacji. Śledczy chcą zachować wystarczająco dużo stanu, aby ustalić, co się wydarzyło i które poświadczenia wymagają wymiany.
Właściwa kolejność zależy od ekspozycji, potrzeb biznesowych, redundancji i dostępnego wsparcia kryminalistycznego. Organizacje powinny wcześnie zaangażować zespoły reagowania na incydenty, gdy znajdą wskaźniki lub niewyjaśnione połączenia z urządzenia. Powinny dokumentować każde działanie ograniczające skutki i jego czas.
Uzasadniona reakcja zasadniczo rozdziela cztery pytania:
Czy zainstalowana wersja jest podatna?
Czy urządzenie było osiągalne w okresie wykorzystywania luki?
Czy istnieją dowody próby lub skutecznego wykorzystania luki?
Które systemy i poświadczenia były dostępne po naruszeniu?
Łatanie odpowiada tylko na pierwsze pytanie. Rejestry ekspozycji, dzienniki sieciowe, dowody z pamięci, dzienniki tożsamości i telemetria dalszych systemów odpowiadają na pozostałe. Traktowanie tych pytań jako zamiennych tworzy fałszywe poczucie bezpieczeństwa.
Nierozwiązana luka eskalacji uprawnień dodaje kolejną komplikację. Ivanti załatało komponenty obejścia uwierzytelniania i zdalnego wykonywania kodu 13 października. Volexity poinformowało, że Ivanti planowało późniejsze wydanie poprawki dla odrębnej luki eskalacji uprawnień.
Nie oznacza to, że udokumentowany łańcuch pozostaje możliwy do wykorzystania po październikowych poprawkach. Zamknięcie nieuwierzytelnionego wejścia i etapów wykonania powinno przerwać tę konkretną drogę. Mimo to administratorzy powinni śledzić dodatkowe wydanie i zainstalować je, gdy Ivanti je udostępni.
Organizacje muszą również zweryfikować, czy aktualizacje rzeczywiście zostały ukończone. Klastry urządzeń, węzły zapasowe, systemy odzyskiwania po awarii i zapomniane testowe bramy mogą pozostać podatne po zmianie na urządzeniu głównym. Rejestry zasobów należy porównać z rzeczywistymi danymi o wersjach.
Zewnętrzne wykrywanie może pomóc ujawnić niezarządzaną ekspozycję. Panel exposure dashboard Shadowserver oferuje jeden widok zewnętrzny, lecz żaden zewnętrzny zbiór danych nie zapewnia idealnej inwentaryzacji. Wewnętrzne rejestry właścicieli pozostają niezbędne.
Pełna reakcja musi obejmować mechanizmy kontroli tożsamości. Zespoły powinny analizować wzorce uwierzytelniania, użycie kont usług, uprzywilejowane zapytania do katalogu, sygnały password sprayingu oraz nietypowy dostęp do kluczy odzyskiwania. Odpowiednie sekrety należy rotować po zrozumieniu przez zespoły ich zależności.
Systemy dalszego szczebla zasługują na odrębny przegląd. Połączenia z urządzenia VPN mogły odziedziczyć zaufanie lub omijać kontrole stosowane wobec zwykłych klientów. Śledczy powinni zidentyfikować nietypowy ruch pochodzący z bramy w podejrzewanym okresie.
Najbezpieczniejszy wniosek jest zarazem najmniej wygodny: w tym incydencie nie ma jednego przycisku „wszystko w porządku”. Poprawione oprogramowanie, czyste wyniki kontroli integralności i brak opublikowanych wskaźników dostarczają dowodów. Żaden z nich samodzielnie nie potwierdza, że urządzenie nigdy nie zostało naruszone.
Wcześniejsze luki zero-day Ivanti zwiększają presję
CVE-2026-104935 pojawia się po wielokrotnym wykorzystywaniu produktów brzegowych, dlatego klienci oceniają dojrzałość reakcji, a nie tylko jedną poprawkę.
Ivanti Connect Secure w ostatnich latach mierzyło się z kilkoma poważnymi, aktywnie wykorzystywanymi podatnościami. Na początku 2024 roku atakujący połączyli CVE-2023-46805 z CVE-2024-21887. Ta kombinacja umożliwiała obejście uwierzytelniania i wstrzykiwanie poleceń przeciwko bramom wystawionym do internetu.
CISA zareagowała zdecydowanie podczas tego epizodu. Agencje federalne otrzymały instrukcje dotyczące wdrożenia środków łagodzących, przeprowadzenia kontroli integralności, a ostatecznie odłączenia dotkniętych urządzeń w określonych warunkach. Późniejsza analiza ostrzegła, że atakujący mogą utrzymać dostęp mimo niektórych działań odzyskiwania.
W styczniu 2025 roku Ivanti ujawniło aktywne wykorzystywanie CVE-2025-0282, przepełnienia bufora opartego na stosie wpływającego na Connect Secure. Później tego samego roku inna luka Connect Secure, CVE-2025-22457, została powiązana z wykorzystaniem przez związaną z Chinami grupę szpiegowską.
Nowy incydent nie dowodzi, że każde urządzenie Ivanti zostało naruszone ani że jest ono wyjątkowo niebezpieczne. Produkty brzegowe dla przedsiębiorstw wielu dostawców przyciągają intensywne badania i stałe zainteresowanie atakujących. Ich pozycja sprawia, że skuteczny exploit ma wyjątkową wartość.
Volexity bezpośrednio porównało tę sytuację z niedawnym wykorzystywaniem urządzeń SonicWall Secure Mobile Access. W obu przypadkach atakujący z dostępem root analizowali przechwycone pakiety, aby odzyskać poświadczenia. To podobieństwo sugeruje szerszą strategię wymierzoną w zaufane systemy na obrzeżach sieci.
Bramy VPN mają kilka cech sprzyjających atakującym. Są dostępne z internetu, często działają nieprzerwanie i łączą się bezpośrednio z infrastrukturą tożsamości. Działają też w wyspecjalizowanych środowiskach operacyjnych, których wiele produktów bezpieczeństwa punktów końcowych nie może normalnie monitorować.
Stacja robocza może mieć wykrywanie zagrożeń na punkcie końcowym, kontrolę aplikacji i szczegółową telemetrię procesów. Urządzenie bezpieczeństwa często udostępnia właścicielowi mniej narzędzi dochodzeniowych. Atakujący mogą wykorzystać tę lukę w widoczności, działając z wysoce zaufanej pozycji sieciowej.
Powtarzający się wzorzec wywiera presję zarówno na dostawców, jak i klientów. Dostawcy muszą skrócić okres między wykryciem częściowej luki a ochroną każdej obsługiwanej gałęzi. Klienci muszą ograniczyć zależność od pilnych powiadomień jako podstawowego mechanizmu wykrywania.
Ivanti podało, że część CVE-2026-104935 wykryto w ramach jego programu bezpieczeństwa produktów. Ten komponent został poprawiony w lipcowym wydaniu 2026 wersji 25.1.3.0. Wykorzystanie luki nastąpiło, gdy firma przenosiła poprawkę wstecznie do innych obsługiwanych wersji.
Ta chronologia zasługuje na analizę, ale nie uzasadnia prostego oskarżenia. Przenoszenie zmian bezpieczeństwa między gałęziami wydań może wymagać prac inżynieryjnych i testów kompatybilności. Publicznie dostępne informacje nie ustalają, kiedy Ivanti zrozumiało pełny łańcuch exploita ani jego wykorzystanie w rzeczywistych warunkach.
Rezultat mimo to ujawnił lukę w procesie łatania. Niektórzy klienci korzystający z innych obsługiwanych gałęzi pozostali podatni po tym, jak jedna gałąź zawierała istotną poprawkę. Atakujący działali w tym okresie i naruszyli wydanie uznawane za aktualne dla swojej linii.
Rodzą się tu praktyczne pytania zakupowe. Nabywcy powinni pytać, jak dostawcy rozpowszechniają poprawki bezpieczeństwa między obsługiwanymi gałęziami. Powinni także pytać, czy wskazówki dotyczące wykrywania są dostarczane wraz z poprawką oraz jak urządzenia zachowują dowody kryminalistyczne.
Klienci mogą ograniczyć przyszłą ekspozycję bez czekania na kolejne zalecenie. Mogą zminimalizować bezpośrednią dostępność z internetu, ograniczyć interfejsy administracyjne i monitorować ruch pochodzący z bram. Mogą też centralizować dzienniki, aby atakujący nie mógł lokalnie usunąć wszystkich przydatnych zapisów.
Segmentacja również ma znaczenie. Urządzenie zdalnego dostępu nie powinno otrzymywać nieograniczonego zasięgu tylko dlatego, że pełni zaufaną funkcję. Jego konta usług powinny mieć wyłącznie wymagane uprawnienia, a protokoły uwierzytelniania przesyłające dane jawnym tekstem powinny być, gdzie to możliwe, usunięte.
Środki te nie eliminują ryzyka związanego z lukami zero-day. Ograniczają wartość, jaką atakujący mogą uzyskać po naruszeniu jednego urządzenia. Powtarzająca się lekcja płynąca z incydentów dotyczących Ivanti, SonicWall, Citrix i innych urządzeń brzegowych jest taka, że urządzenia perymetrowe również wymagają wewnętrznego ograniczania skutków naruszeń.
Presja na Ivanti wykracza zatem poza dostarczanie aktualizacji. Klienci będą obserwować, jak szybko pojawi się poprawka dla pozostałej luki umożliwiającej eskalację uprawnień. Ocenią również, czy nowe wydania usprawniają gromadzenie dowodów i są odporne na manipulacje ograniczone wyłącznie do pamięci.
Trzy sygnały pokażą, czy reakcja zadziałała
Kolejny etap zależy od wzrostu skanowania i wykorzystywania luki, pozostałej poprawki Ivanti oraz dowodów kompromitacji wykraczającej poza pierwotnie badane środowiska.
Pierwszym sygnałem będzie to, czy po publicznym ujawnieniu wzrosną skanowanie i wykorzystywanie podatności. Szczegóły techniczne są już dostępne, choć Volexity wstrzymało się z publikacją gotowego do użycia kodu exploitu. Inni aktorzy nadal mogą analizować błąd routingu, odtworzyć warunek wyścigu i stworzyć własną implementację.
Gwałtowny wzrost żądań związanych z welcome.cgi lub podejrzanymi wartościami X-DSCGI-PATH wzmocniłby argumenty za natychmiastowym ograniczaniem skutków incydentu. Raporty firm zajmujących się reagowaniem na incydenty pokażą, czy UTA0576 pozostało głównym operatorem, czy stało się jednym z wielu.
Drugim sygnałem będzie obiecana przez Ivanti poprawka dla odrębnej luki umożliwiającej eskalację uprawnień. Administratorzy powinni śledzić komunikat bezpieczeństwa firmy, informacje o wydaniach i wytyczne dotyczące obsługiwanych wersji. Po wdrożeniu powinni zweryfikować każdy aktywny i zapasowy węzeł.
Terminowe wydanie usunęłoby kolejną lokalną ścieżkę eskalacji udokumentowaną w tym łańcuchu ataku. Opóźnienie pozostawiłoby klientów z dodatkową niepewnością, nawet po załataniu samej CVE-2026-104935.
Trzecim sygnałem będzie wykrycie kompromitacji w systemach dalszego zasięgu. Nowe doniesienia dotyczące skradzionych danych uwierzytelniających do katalogu, nieautoryzowanego dostępu do odzyskiwania BitLocker lub ruchu bocznego poszerzyłyby rozumiany wpływ incydentu. Potwierdziłyby również, że naprawa skupiona wyłącznie na urządzeniu była zbyt wąska.
Organizacje nie powinny czekać na takie raporty przed sprawdzeniem własnych środowisk. Zaobserwowany operator wyszukiwał dane tajne tożsamości natychmiast po uzyskaniu dostępu root. To zachowanie wyznacza minimalny zakres dochodzenia dla narażonych systemów.
Obrońcy powinni zachować logi bramy, zapory sieciowej, systemów tożsamości, DNS i katalogów obejmujące cały okres ekspozycji. Powinni szukać połączeń z urządzenia, które nie odpowiadają normalnemu zachowaniu dostępu zdalnego. Szczególnej uwagi wymagają odpowiednie konta usługowe i tajne dane wielokrotnego użytku.
Podatność Ivanti Connect Secure stanowi również szerszy test programów zarządzania podatnościami. Szybkość inwentaryzacji ma takie samo znaczenie jak szybkość łatania. Organizacja nie może chronić zapasowej bramy, zapomnianego urządzenia laboratoryjnego ani odziedziczonego urządzenia, za które nikt nie odpowiada.
Ostrzeżenie CISA powinno zatem uruchomić jeden skoordynowany proces. Zespoły operacji bezpieczeństwa, inżynierii sieciowej, tożsamości i reagowania na incydenty potrzebują tej samej osi czasu oraz listy zasobów. Każdy zespół widzi inną część ścieżki ataku.
Łatanie pozostaje pilne, ale to dopiero pierwszy ruch. Ważniejsze pytanie brzmi, czy organizacja potrafi udowodnić, do czego urządzenie miało dostęp przed wdrożeniem poprawki. Przejrzyj komunikat bezpieczeństwa, potwierdź każdą wdrożoną wersję, zachowaj dowody i już teraz zbadaj aktywność pochodzącą z bramy. Jeśli urządzenie miało dostęp do cennych danych tożsamości, czy traktujesz to jako rutynową konserwację, czy jako możliwe naruszenie?
