Ivanti har oppfordret kunder til å installere en sikkerhetsoppdatering for en nulldagssårbarhet i Ivanti Connect Secure som angripere aktivt utnytter. Sårbarheten, som er registrert som CVE-2026-104935, gjør det mulig for uautentiserte angripere å omgå autentisering og kjøre vilkårlige kommandoer på berørte enheter.
Selskapet rapporterte begrenset utnyttelse da problemet ble offentliggjort 13. oktober. Samtidig knyttet sikkerhetsforskere sårbarheten til en angrepskjede som ga tilgang på root-nivå uten å installere skadevare.
Omgåelse av autentisering påvirker flere versjoner
Ivanti Connect Secure er en SSL VPN-gateway for bedrifter som gir fjernarbeidere og eksterne konsulenter tilgang til bedriftsressurser og skyressurser.
Sårbarheten, som har høy alvorlighetsgrad, påvirker følgende versjoner:
- ICS 22.8R2.4 og tidligere.
- ICS 25.1.2.2 og tidligere.
- ICS 25.1.1.1 og tidligere.
Angripere trenger verken eksisterende tilgangsrettigheter eller brukerinteraksjon for å utnytte sikkerhetssårbarheten. Dessuten beskriver Ivanti angrepene som lite komplekse.
Selskapet anbefalte berørte kunder å installere den korrigerte versjonen umiddelbart og kjøre Integrity Checker Tool regelmessig. Sikkerhetsforskere oppdaget imidlertid at de observerte angriperne kunne omgå verktøyet.
Angripere kombinerte tre sårbarheter for å få root-tilgang
Volexity oppdaget og rapporterte nulldagssårbarheten i Ivanti Connect Secure under en undersøkelse av aktivitet som ble tilskrevet en tidligere ukjent gruppe, UTA0576.
Ifølge funnene kombinerte gruppen CVE-2026-104935 med to andre sårbarheter for å oppnå uautentisert kodekjøring på root-nivå. Angrepene lyktes mot enheter som var fullstendig oppdatert på det tidspunktet.
Volexity sporet aktiviteten tilbake til minst 3. oktober. Separat rapporterte trusseletterretningsselskapet Defused at det hadde observert utnyttelse allerede 1. oktober.
Da sårbarheten ble offentliggjort, hadde Ivanti rettet to av sårbarhetene i angrepskjeden. Selskapet arbeidet imidlertid fortsatt med en rettelse for sårbarheten knyttet til privilegieeskalering som angriperne også benyttet.
Gjentatt utnyttelse hjalp angripere med å unngå oppdagelse
I stedet for å installere skadevare eller et webskall utnyttet UTA0576 sårbarheten i enheten på nytt for hver kommando gruppen kjørte.
Gruppen manipulerte også logger for å skjule aktiviteten sin. Ifølge Volexity gjorde denne metoden det mulig å omgå Ivantis Integrity Checker Tool.
Funnene viser en begrensning ved å stole utelukkende på integritetskontroller. Selv om Ivanti anbefaler å kjøre verktøyet regelmessig, kunne den observerte angrepsmetoden etterlate en kompromittert enhet uten sporene av skadevare som slike kontroller kan oppdage.
Tusenvis av Connect Secure-enheter er fortsatt tilgjengelige på internett
Shadowserver registrerte mer enn 5 500 internetteksponerte Connect Secure-instanser rundt tidspunktet da sårbarheten ble offentliggjort.
Dette tallet viser imidlertid ikke hvor mange enheter som fortsatt var sårbare. De tilgjengelige dataene skilte ikke mellom oppdaterte systemer og enheter uten sikkerhetsoppdateringer, og viste heller ikke hvor mange instanser som var honeypoter.
Ivanti opplyste at selskapet arbeidet direkte med berørte organisasjoner, samtidig som det ga oppdateringer og informasjon om utbedringstiltak til andre kunder.
Connect Secure rammes gjentatte ganger av utnyttelse
De siste angrepene følger etter flere tidligere hendelser som involverte sårbarheter i Connect Secure.
I januar 2024 rettet Ivanti en sårbarhet som gjorde det mulig å omgå autentisering, CVE-2023-46805, og en sårbarhet for kommandoinjeksjon, CVE-2024-21887. Senere samme måned rettet selskapet også sårbarheten CVE-2024-21893, som muliggjorde server-side request forgery.
Ytterligere hendelser fulgte i 2025. Ivanti rettet CVE-2025-0282 i januar og utbedret deretter CVE-2025-22457, som Kina-tilknyttede spionasjeaktører hadde utnyttet siden minst midten av mars.
På tidspunktet for den siste offentliggjøringen hadde CISA katalogisert 36 aktivt utnyttede sårbarheter på tvers av Ivantis produkter siden november 2021. Myndigheten knyttet også 12 av disse sårbarhetene til løsepengevirus-kampanjer.
For berørte Connect Secure-kunder er Ivantis umiddelbare anbefaling å gjennomgå sikkerhetsmeldingen og oppgradere så raskt som mulig. Administratorer bør også ta hensyn til de rapporterte begrensningene i oppdagelsesevnen og den utestående rettelsen for privilegieeskalering.
0 responses to “Nulldagssårbarhet i Ivanti Connect Secure utnyttes i pågående angrep”