Ivanti doplnilo opravy aktívne zneužívaného reťazca chýb v Connect Secure

Ivanti vydalo ďalšie opravy pre Connect Secure po potvrdenom zneužívaní trojčlánkového zero-day reťazca, ktorý útočníkom umožnil vzdialene spúšťať kód s právami root.

Ivanti Connect Secure opravy boli doplnené po tom, čo bezpečnostná firma Volexity potvrdila aktívne zneužívanie trojčlánkového zero-day reťazca. Útočníci ním podľa jej analýzy dokázali bez autentifikácie vzdialene spúšťať kód s právami root, a to na zariadení, ktoré bolo v čase útoku plne aktualizované.

Volexity uviedla, že reťazec zahŕňal chybu CVE-2026-104935 a následnú eskaláciu opráv CVE-2026-111357. Ivanti podľa Volexity vydalo opravu pre CVE-2026-111357 29. októbra 2026. SecurityWeek a BleepingComputer následne informovali aj o oprave CVE-2026-118527.

Ivanti Connect Secure opravy zahŕňajú ďalšie dve chyby

CVE-2026-118527 má podľa SecurityWeek umožňovať autentifikovanému útočníkovi nahrávať súbory na predvídateľné miesto v systéme. Spolu s CVE-2026-111357 ide o ďalšie slabiny spojené s útokovým reťazcom, ktorý Volexity zdokumentovala pri vyšetrovaní kompromitácie.

Podľa SecurityWeek sú opravy zahrnuté vo verziách Connect Secure 25.1.1.3 a 22.8R2.6. Organizácie, ktoré už nasadili skoršie opravy reťazca, musia aktualizovať znovu, aby získali aj najnovšie záplaty.

Pri overovaní nebolo dostupné priame znenie aktuálneho bezpečnostného advisories od Ivanti. Informácie o dotknutých verziách a o technickom charaktere CVE-2026-118527 preto vychádzajú z nezávislého sekundárneho spravodajstva.

Potvrdené zneužívanie a stopy kompromitácie

Volexity pri incidente zaznamenala krádež poverení, prieskum vnútornej siete, exfiltráciu údajov aj manipuláciu s logmi. Takýto priebeh znamená, že správca by nemal hodnotiť situáciu iba podľa úspešnosti aktualizácie zariadenia.

Volexity v dostupnom opise neuvádza nasadenie webshellu ani perzistentného malvéru priamo na zariadení Connect Secure. Upozornila však, že útočník manipuloval aj s pamäťou a logmi. Kontrola výlučne súborovej integrity preto nemusí postačovať na vylúčenie kompromitácie.

Volexity aktivitu pripisuje aktérovi označenému UTA0576, pričom jeho kriminálnu motiváciu hodnotí len s nízkou istotou. Nejde teda o definitívnu atribúciu.

Čo majú prevádzkovatelia urobiť

  • Overiť používanú verziu Ivanti Connect Secure a nasadiť najnovšiu dostupnú opravu pre príslušnú vetvu.
  • Neobmedziť sa na októbrovú opravu CVE-2026-104935, pretože reťazec zahŕňal aj ďalšie zraniteľnosti.
  • Preveriť možné známky kompromitácie vrátane krádeže poverení, prieskumu siete, prenosu dát a nezrovnalostí v logoch.
  • Sledovať nové indikátory kompromitácie a odporúčania k forenznému vyšetrovaniu od Ivanti alebo Volexity.

SecurityWeek tiež uviedol, že americká CISA zaradila CVE-2026-111357 a CVE-2026-118527 do katalógu Known Exploited Vulnerabilities. Priamy záznam v katalógu sa však nepodarilo technicky načítať, preto túto informáciu nemožno v tomto momente nezávisle potvrdiť z primárneho zdroja.

Ďalšie dôležité informácie môžu priniesť oficiálne podrobnosti Ivanti, prípadné záznamy CISA a údaje o rozsahu napadnutých organizácií.

Súvisiace články

Zdroje

  • Volexity – Primárna analýza incidentu potvrdzuje zneužitie reťazca, jeho technický dopad, pozorované aktivity útočníka a aktualizáciu, že Ivanti opravilo CVE-2026-111357 29. októbra.
  • SecurityWeek – Uvádza dve novo opravené CVE, dotknuté a opravné verzie Connect Secure aj hlásené zaradenie oboch chýb do CISA KEV.
  • BleepingComputer – Nezávisle potvrdzuje vydanie opráv pre ďalšie dve chyby a ich spojenie s predtým zdokumentovaným útokovým reťazcom.

Overené a aktualizované: 02. 11. 2026 15:26

Značky
Zdieľanie

Súvisiace