Aktualizované: Pokusy o zneužitie CVE-2026-104935 v Ivanti Connect Secure pokračujú
Telemetria Previdianu zaznamenala 114 pokusov o zneužitie chyby CVE-2026-104935 v Ivanti Connect Secure z 53 unikátnych IP adries. Nejde o počet potvrdených obetí.
CVE-2026-104935 Ivanti zostáva terčom verejne pozorovaných pokusov o zneužitie. Bezpečnostná firma Previdian 15. októbra uviedla, že jej tri honeypotové senzory zachytili celkovo 114 pokusov pochádzajúcich z 53 unikátnych IP adries. Aktivita pokračovala aj v deň zverejnenia údajov.
Tieto čísla nevyjadrujú počet napadnutých organizácií ani úspešných prienikov. Ide o telemetriu z návnadových systémov, ktorá potvrdzuje pokračujúce skenovanie a exploatačné pokusy proti zraniteľnosti v zariadeniach Ivanti Connect Secure (ICS).
CVE-2026-104935 Ivanti zahŕňa obídenie autentifikácie
Zraniteľnosť pokrýva autentifikačný bypass a vzdialené vykonávanie príkazov. Výskumníci z Volexity nezávisle zdokumentovali jej zneužitie ako súčasť reťazca troch zero-day chýb proti plne aktualizovanému zariadeniu ICS vo verzii 22.8R2.4.
Volexity označuje sledovanú aktivitu ako UTA0576. Nejde však o verejne potvrdené pripísanie konkrétnej známej skupine, ale o interné označenie klastra tejto spoločnosti.
Chyba je od 13. októbra zaradená v katalógu CISA Known Exploited Vulnerabilities (KEV), ktorý eviduje zraniteľnosti s potvrdeným zneužívaním. NVD medzi opravenými vydaniami uvádza verzie 22.8R2.5, 25.1.3.0 a 25.1.3.1.
Aktualizácia je prioritou, pri podozrení treba preveriť kompromitáciu
Správcovia internetovo dostupných zariadení ICS by mali prioritne overiť nasadenú verziu a prejsť na dostupné opravené vydanie. Nové dáta od Previdianu ukazujú, že pokusy o zneužitie pokračujú aj po zverejnení opráv.
Samotná aktualizácia však nenahrádza forenzné preverenie zariadenia, ak sa objavili príznaky kompromitácie. Volexity upozornila, že Integrity Checker nemusí tento útok zachytiť. Organizácie s podozrivou aktivitou by preto mali preveriť sieťové dáta a pamäť zariadení.
Pre reťazec útoku zdokumentovaný Volexity stále chýba oprava eskalácie privilégií. Podľa výskumníkov má prísť v budúcom vydaní. Dostupné aktualizácie pre CVE-2026-104935 sú preto dôležitým krokom, no nemenia potrebu kontroly už potenciálne zasiahnutých systémov.
Čo zatiaľ nie je známe
Nie je verejne potvrdené, koľko reálnych organizácií bolo napadnutých ani či niektorý z pokusov zachytených honeypotmi Previdianu viedol k úspešnému prieniku. Počet 114 je stav telemetrie k 15. októbru a pri ďalšom sledovaní sa môže meniť.
Ďalší vývoj bude závisieť najmä od nových technických indikátorov, zmien v telemetrii Previdianu a vydania opravy eskalácie privilégií použitej v útokovom reťazci. Dôležité budú aj prípadné potvrdené informácie o rozsahu kompromitácií alebo pripísaní aktivity konkrétnemu aktérovi.
Zdroje
- Previdian — CVE-2026-104935 Exploitation Observed – Previdian uvádza 114 pokusov, 53 unikátnych IP adries, tri senzory a aktivitu pozorovanú aj 15. októbra.
- Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days – Forenzne dokumentuje reťazec troch chýb, činnosť UTA0576 a skutočnosť, že eskalácia privilégií ešte nemala opravu.
- NIST NVD — CVE-2026-104935 – Potvrdzuje technický opis chyby, CVSS 8,6, opravené verzie a zaradenie do CISA KEV.
- BleepingComputer — CISA warns admins to immediately fix Ivanti flaw exploited as zero-day – Koroboruje vydanie opráv Ivanti a kontext aktívneho zneužívania.
Overené a aktualizované: 15. 10. 2026 15:23
