Ivanti har opfordret kunder til at installere en sikkerhedsopdatering for en nuldagssårbarhed i Ivanti Connect Secure, som angribere aktivt udnytter. Sårbarheden, der er registreret som CVE-2026-104935, gør det muligt for ikke-godkendte angribere at omgå autentificering og udføre vilkårlige kommandoer på berørte enheder.
Virksomheden rapporterede begrænset udnyttelse, da problemet blev offentliggjort den 13. oktober. Samtidig kædede sikkerhedsforskere sårbarheden sammen med en angrebskæde, der gav adgang på root-niveau uden at installere malware.
Omgåelse af autentificering påvirker flere versioner
Ivanti Connect Secure er en SSL VPN-gateway til virksomheder, der giver fjernarbejdere og eksterne samarbejdspartnere adgang til virksomhedsressourcer og cloudressourcer.
Sårbarheden, der har en høj alvorlighedsgrad, påvirker følgende versioner:
- ICS 22.8R2.4 og tidligere.
- ICS 25.1.2.2 og tidligere.
- ICS 25.1.1.1 og tidligere.
Angribere behøver hverken eksisterende adgangsrettigheder eller brugerinteraktion for at udnytte sikkerhedsbristen. Desuden beskriver Ivanti angrebene som værende af lav kompleksitet.
Virksomheden anbefalede berørte kunder straks at installere den rettede version og regelmæssigt køre Integrity Checker Tool. Sikkerhedsforskere fandt dog ud af, at de observerede angribere kunne omgå værktøjet.
Angribere kombinerede tre sårbarheder for at opnå root-adgang
Volexity opdagede og rapporterede nuldagssårbarheden i Ivanti Connect Secure under en undersøgelse af aktivitet, der blev tilskrevet en hidtil ukendt gruppe, UTA0576.
Ifølge virksomhedens resultater kombinerede gruppen CVE-2026-104935 med to andre sårbarheder for at opnå mulighed for at udføre kode på root-niveau uden autentificering. Angrebene lykkedes mod enheder, der var fuldt opdaterede på det pågældende tidspunkt.
Volexity sporede aktiviteten tilbage til mindst den 3. oktober. Separat rapporterede trusselsefterretningsvirksomheden Defused, at den havde observeret udnyttelse allerede den 1. oktober.
På tidspunktet for offentliggørelsen havde Ivanti rettet to af sårbarhederne i angrebskæden. Virksomheden arbejdede dog stadig på en rettelse til den sårbarhed, der muliggjorde privilegieeskalering, og som angriberne også benyttede.
Gentagen udnyttelse hjalp angribere med at undgå opdagelse
I stedet for at installere malware eller en webshell udnyttede UTA0576 sårbarheden i enheden igen for hver kommando, gruppen udførte.
Gruppen manipulerede også logfiler for at skjule sin aktivitet. Ifølge Volexity gjorde denne metode det muligt at omgå Ivantis Integrity Checker Tool.
Resultaterne understreger en begrænsning ved udelukkende at stole på integritetskontroller. Selvom Ivanti anbefaler at køre værktøjet regelmæssigt, kunne den observerede angrebsmetode efterlade en kompromitteret enhed uden de spor af malware, som sådanne kontroller muligvis ville opdage.
Tusindvis af Connect Secure-enheder er stadig tilgængelige på internettet
Shadowserver registrerede mere end 5.500 interneteksponerede Connect Secure-instanser omkring tidspunktet for offentliggørelsen.
Dette tal viser dog ikke, hvor mange enheder der fortsat var sårbare. De tilgængelige data skelnede ikke mellem opdaterede systemer og enheder uden sikkerhedsopdateringer og identificerede heller ikke, hvor mange instanser der var honeypots.
Ivanti oplyste, at virksomheden arbejdede direkte med berørte organisationer, samtidig med at den leverede opdateringer og oplysninger om afhjælpning til andre kunder.
Connect Secure udsættes gentagne gange for udnyttelse
De seneste angreb følger efter flere tidligere hændelser, der involverede sårbarheder i Connect Secure.
I januar 2024 rettede Ivanti en sårbarhed, der gjorde det muligt at omgå autentificering, CVE-2023-46805, samt en sårbarhed for kommandoinjektion, CVE-2024-21887. Senere samme måned rettede virksomheden også sårbarheden CVE-2024-21893, der muliggjorde server-side request forgery.
Yderligere hændelser fulgte i 2025. Ivanti rettede CVE-2025-0282 i januar og håndterede efterfølgende CVE-2025-22457, som Kina-tilknyttede spionageaktører havde udnyttet siden mindst midten af marts.
På tidspunktet for den seneste offentliggørelse havde CISA registreret 36 aktivt udnyttede sårbarheder på tværs af Ivantis produkter siden november 2021. Myndigheden kædede også 12 af disse sårbarheder sammen med ransomwarekampagner.
For berørte Connect Secure-kunder er Ivantis umiddelbare anbefaling at gennemgå sikkerhedsmeddelelsen og opgradere hurtigst muligt. Administratorer bør også tage højde for de rapporterede begrænsninger i mulighederne for at opdage angreb samt den endnu ikke færdiggjorte rettelse til privilegieeskalering.
0 svar til “Nuldagssårbarhed i Ivanti Connect Secure udnyttes i igangværende angreb”