Ivanti opravila aktívne zneužívanú chybu v Connect Secure
Ivanti vydala opravy pre CVE-2026-104935 v Connect Secure po potvrdení obmedzeného zneužívania. CISA chybu zaradila medzi aktívne zneužívané zraniteľnosti.
Ivanti Connect Secure CVE-2026-104935 je aktívne zneužívaná zraniteľnosť vo vybraných verziách VPN zariadení Ivanti Connect Secure. Spoločnosť Ivanti ju zverejnila 13. októbra a potvrdila obmedzené zneužívanie v praxi. Americká agentúra CISA chybu medzičasom zaradila do katalógu Known Exploited Vulnerabilities (KEV).
Podľa CISA môže vzdialený útočník bez autentifikácie vykonávať ľubovoľné príkazy. Ivanti vydala opravy pre dotknuté produktové vetvy 25.x a 22.x a správcom odporučila okamžitú aktualizáciu.
Ivanti Connect Secure v reťazci zero-day chýb
Výskumníci zo spoločnosti Volexity zdokumentovali útok, pri ktorom bola proti plne aktualizovanému zariadeniu Ivanti Connect Secure použitá reťaz troch dovtedy neznámych chýb. CVE-2026-104935 podľa ich analýzy pokrýva obídenie autentifikácie a vzdialené spúšťanie kódu.
Reťazec v pozorovanom prípade viedol až k spúšťaniu kódu s oprávneniami root. Samostatná chyba umožňujúca eskaláciu oprávnení na root podľa Ivanti a Volexity zatiaľ čaká na opravu. Nie je preto možné považovať nasadenie opravy CVE-2026-104935 za náhradu preverenia zariadenia, ktoré mohlo byť kompromitované pred aktualizáciou.
Volexity pri incidente pozorovala krádež poverení, prieskum prostredia Active Directory, exfiltráciu dát aj pokusy zakryť stopy po činnosti útočníka. Firma označuje sledovaného aktéra ako UTA0576 a uvádza možnú kriminálnu motiváciu, ide však o jej atribúciu, nie o nezávisle potvrdené zistenie.
Prečo je chyba na VPN bráne závažná
Connect Secure funguje ako vzdialený prístupový bod do podnikových sietí. Zraniteľnosť na internetovo exponovanom VPN zariadení preto môže útočníkovi poskytnúť cestu k interným systémom bez potreby platného používateľského účtu.
Zaradenie CVE-2026-104935 do katalógu KEV znamená, že CISA eviduje jej zneužívanie. Katalóg slúži ako zoznam zraniteľností, pri ktorých je pre správcov dôležité uprednostniť nápravu vzhľadom na potvrdenú aktivitu útočníkov.
Čo by mali správcovia urobiť
- Overiť, či ich nasadenie Ivanti Connect Secure patrí medzi dotknuté verzie vo vetvách 25.x alebo 22.x.
- Nasadiť Ivanti opravu pre CVE-2026-104935 podľa bezpečnostného odporúčania výrobcu.
- Pri podozrení na neoprávnený prístup vykonať forenzné preverenie zariadenia a súvisiacich systémov.
- Sledovať vydanie opravy pre samostatnú eskaláciu oprávnení na root a prípadné pridelenie CVE identifikátora.
Volexity upozorňuje, že samotný nástroj Integrity Checker nemusí kompromitáciu zachytiť. Rozsah kampane, počet zasiahnutých organizácií ani identita útočníka nie sú verejne potvrdené. Správcovia by preto mali popri aktualizácii sledovať nové indikátory kompromitácie a ďalšie potvrdené prípady zneužitia.
Zdroje
- Ivanti – Ivanti potvrdzuje obmedzené zneužívanie v praxi, vyzýva na okamžitú aktualizáciu a odkazuje na bezpečnostné odporúčanie.
- CISA Known Exploited Vulnerabilities Catalog – CISA eviduje CVE-2026-104935 ako aktívne zneužívanú zraniteľnosť a uvádza možnosť neautentifikovaného vzdialeného vykonávania príkazov.
- Volexity – Forenzná analýza Volexity opisuje trojčlánkový reťazec, zneužitie proti plne aktualizovanému ICS a pozorované následné aktivity útočníka.
- SecurityWeek – Nezávisle koroboruje, že zneužitie reťazca umožnilo útočníkom root prístup aj na aktualizovanom VPN zariadení.
Overené a aktualizované: 14. 10. 2026 06:19
