Ivanti Connect Secure: aktywne ataki na VPN. Poprawka i kontrola włamania są pilne

Ivanti 13 października potwierdziło aktywne wykorzystywanie luki w Connect Secure i wezwało klientów do natychmiastowej aktualizacji. Tego samego dnia Volexity opublikowało opis ataku na bramkę VPN, która w chwili włamania miała wszystkie dostępne poprawki. Nową informacją jest publiczne ujawnienie sposobu przejęcia urządzenia oraz udostępnienie zabezpieczenia przed częścią wykorzystanego łańcucha luk.

Co ujawniono

CVE-2026-104935 pozwala napastnikowi bez logowania wykonywać polecenia na podatnym urządzeniu. Według Volexity atakujący łączyli obejście uwierzytelniania i wykonanie kodu z osobną luką podnoszącą uprawnienia. Uzyskiwali w ten sposób dostęp na poziomie administratora systemu.

Badacze zaobserwowali działania grupy oznaczonej UTA0576 od 3 października. Opisali kradzież danych uwierzytelniających, rozpoznawanie sieci oraz poszukiwanie haseł administratorów lokalnych i kluczy odzyskiwania BitLocker w Active Directory. Nie ustalili ostatecznego celu operacji.

Istotne ograniczenie: poprawka osobnej luki podnoszącej uprawnienia była w chwili publikacji raportu nadal przygotowywana. Nie jest to powód, by odkładać dostępne aktualizacje: usuwają one wcześniejsze elementy opisanego łańcucha ataku.

Kogo dotyczy zagrożenie

Sprawa dotyczy organizacji korzystających z Ivanti Connect Secure do zdalnego dostępu. Administratorzy powinni porównać wersję urządzenia i jego platformę z komunikatem producenta, a następnie wybrać wskazane dla niej wydanie z poprawką.

W badanym przypadku napastnicy usuwali wpisy w dziennikach i wykonywali polecenia bez pozostawienia stałego mechanizmu dostępu. Volexity ostrzega, że narzędzie Integrity Checker Tool może nie wykryć takiego przejęcia. Prawidłowy wynik kontroli plików nie wystarcza więc do wykluczenia włamania.

Co zrobić teraz

• Zidentyfikować wszystkie bramki Connect Secure, także urządzenia zapasowe, i pilnie zastosować właściwą aktualizację według instrukcji Ivanti.
• Uruchamiać zalecane przez producenta kontrole integralności, uzupełniając je analizą ruchu i dzienników z innych systemów.
• Sprawdzić nietypowe połączenia z bramki do sieci wewnętrznej oraz aktywność kont używanych do integracji z katalogiem.
• Przy podejrzeniu przejęcia zabezpieczyć materiał do analizy, w tym pamięć urządzenia, i uruchomić procedurę obsługi incydentu. Ocenić potrzebę zmiany ujawnionych haseł i innych sekretów.

Komentarz SecurHUB

Brama VPN jest ważnym punktem kontroli dostępu do firmowej sieci, dlatego jej aktualizacji powinna towarzyszyć ocena możliwych skutków wcześniejszego włamania. Obsługa incydentów pomaga ustalić zakres przejęcia i uporządkować działania naprawcze na podstawie zebranych dowodów.

Źródła: Ivanti, Volexity, BleepingComputer