Ivanti har uppmanat kunder att installera en säkerhetsuppdatering för en nolldagssårbarhet i Ivanti Connect Secure som angripare aktivt utnyttjar. Sårbarheten, som identifieras som CVE-2026-104935, gör det möjligt för oautentiserade angripare att kringgå autentisering och köra godtyckliga kommandon på berörda enheter.
Företaget rapporterade begränsad exploatering när problemet offentliggjordes den 13 oktober. Samtidigt kopplade säkerhetsforskare sårbarheten till en attackkedja som gav åtkomst på root-nivå utan att skadlig programvara installerades.
Kringgående av autentisering påverkar flera versioner
Ivanti Connect Secure är en SSL VPN-gateway för företag som ger distansarbetare och entreprenörer åtkomst till företagsresurser och molntjänster.
Sårbarheten, som har en hög allvarlighetsgrad, påverkar följande versioner:
- ICS 22.8R2.4 och tidigare.
- ICS 25.1.2.2 och tidigare.
- ICS 25.1.1.1 och tidigare.
Angripare behöver varken befintliga behörigheter eller användarinteraktion för att utnyttja säkerhetsbristen. Dessutom beskriver Ivanti attackerna som tekniskt okomplicerade.
Företaget rekommenderade berörda kunder att omedelbart installera den korrigerade versionen och regelbundet köra verktyget Integrity Checker Tool. Säkerhetsforskare upptäckte dock att de observerade angriparna kunde kringgå verktyget.
Angripare kombinerade tre sårbarheter för att få root-åtkomst
Volexity upptäckte och rapporterade nolldagssårbarheten i Ivanti Connect Secure under en undersökning av aktivitet som tillskrevs en tidigare okänd grupp, UTA0576.
Enligt företagets resultat kombinerade gruppen CVE-2026-104935 med två andra sårbarheter för att kunna köra kod på root-nivå utan autentisering. Attackerna lyckades mot enheter som var fullständigt uppdaterade vid tidpunkten.
Volexity spårade aktiviteten tillbaka till åtminstone den 3 oktober. Separat rapporterade hotunderrättelseföretaget Defused att det hade observerat exploatering redan den 1 oktober.
Vid offentliggörandet hade Ivanti åtgärdat två av sårbarheterna i attackkedjan. Företaget arbetade dock fortfarande med en korrigering för den sårbarhet för privilegieeskalering som angriparna också använde.
Upprepad exploatering hjälpte angripare att undvika upptäckt
I stället för att installera skadlig programvara eller ett webbskal utnyttjade UTA0576 sårbarheten i enheten på nytt för varje kommando som gruppen körde.
Gruppen manipulerade också loggar för att dölja sin aktivitet. Enligt Volexity gjorde denna metod det möjligt att kringgå Ivantis Integrity Checker Tool.
Resultaten visar på en begränsning med att enbart förlita sig på integritetskontroller. Även om Ivanti rekommenderar att verktyget körs regelbundet kunde den observerade attackmetoden lämna en komprometterad enhet utan de spår av skadlig programvara som sådana kontroller kan upptäcka.
Tusentals Connect Secure-enheter är fortfarande uppkopplade
Shadowserver registrerade mer än 5 500 internetexponerade Connect Secure-instanser vid tiden för offentliggörandet.
Siffran visar dock inte hur många enheter som fortfarande var sårbara. Tillgängliga data skilde inte mellan uppdaterade system och enheter utan säkerhetsuppdateringar och visade inte heller hur många instanser som var honeypots.
Ivanti uppgav att företaget arbetade direkt med berörda organisationer samtidigt som det tillhandahöll uppdateringar och information om åtgärder till andra kunder.
Connect Secure utsätts återkommande för exploatering
De senaste attackerna följer på flera tidigare incidenter som involverat sårbarheter i Connect Secure.
I januari 2024 åtgärdade Ivanti en sårbarhet som gjorde det möjligt att kringgå autentisering, CVE-2023-46805, samt en sårbarhet för kommandoinjektion, CVE-2024-21887. Senare samma månad korrigerade företaget även sårbarheten CVE-2024-21893, som möjliggjorde server-side request forgery.
Ytterligare incidenter följde under 2025. Ivanti åtgärdade CVE-2025-0282 i januari och korrigerade därefter CVE-2025-22457, som Kinaanknutna spionageaktörer hade utnyttjat sedan åtminstone mitten av mars.
Vid tidpunkten för det senaste offentliggörandet hade CISA katalogiserat 36 aktivt utnyttjade sårbarheter i Ivantis produkter sedan november 2021. Myndigheten kopplade också 12 av dessa sårbarheter till ransomwarekampanjer.
För berörda Connect Secure-kunder är Ivantis omedelbara rekommendation att granska säkerhetsmeddelandet och uppgradera så snart som möjligt. Administratörer bör också ta hänsyn till de rapporterade begränsningarna i upptäcktsförmågan och den ännu inte färdigställda korrigeringen för privilegieeskalering.
0 svar till ”Ivanti Connect Secure-nolldagssårbarhet utnyttjas i pågående attacker”