Ivanti пусна актуализации за сигурност за още две уязвимости в своя шлюз за отдалечен достъп Connect Secure (ICS), като компанията заявява, че те са били свързани в zero-day атаки най-малко от 1 октомври. Ако вашата организация използва този appliance, тази кръпка за zero-day уязвимост в Ivanti Connect Secure е приоритетна.

Наличните досега подробности са ограничени, затова тази публикация се придържа към това, което е докладвано, и се фокусира върху практични стъпки за администраторите и служителите, които разчитат на шлюза.

Какво коригира Ivanti и кога започнаха атаките

Според доклада Ivanti е издала актуализации, обхващащи две допълнителни уязвимости в Connect Secure — шлюза за отдалечен достъп, който много организации използват, за да позволяват на служителите да достигат до вътрешни системи извън офиса. Уязвимостите са били експлоатирани като zero-day, което означава, че атакуващите са ги използвали преди да съществува поправка.

Ключовата подробност за времевата линия е, че атаките се случват най-малко от 1 октомври. Фразата „най-малко“ има значение: тя сигнализира, че това е най-ранната потвърдена досега активност, но не непременно първата. Организациите, които са работили с неактуализирани appliance-и през този период, трябва да обмислят възможността да са били изложени, вместо да предполагат, че само поправката приключва въпроса.

Уязвимостите също са били свързани, което означава, че атакуващите са ги комбинирали, вместо да разчитат на една единствена грешка. Тази подробност оформя начина, по който защитниците трябва да мислят за риска.

Защо свързаните експлойти на VPN шлюзове са толкова опасни

Шлюзът за отдалечен достъп се намира в края на мрежата. Той е достъпен от интернет по дизайн и му се доверява да свързва външни потребители с вътрешни ресурси. Тази комбинация го прави високоценна цел: успешно компрометиране може да осигури опорна точка на място, което е едновременно изложено и добре свързано.

Свързването прави това по-сериозно. Една уязвимост може да даде на атакуващия ограничен достъп, докато втора може да разшири този достъп или да го превърне в нещо по-мощно. Използвани заедно, две уязвимости, които поотделно биха могли да бъдат управляеми, могат да се сумират до много по-голям проблем. Защитниците, които приоритизират, разглеждайки всяка грешка изолирано, могат да подценят реалното въздействие.

Това е и част от по-широк модел. По-ранното ни отразяване на заобикалянето на автентикацията в Ivanti Connect Secure, проследявано като CVE-2026-104935, описва друга уязвимост в същия продукт, която вече се използваше в атаки. Виждането на втори кръг zero-day уязвимости в същия шлюз подчертава защо тези appliance-и заслужават внимателно наблюдение.

Как да проверите дали работният ви VPN шлюз е актуализиран

Ако администрирате Connect Secure, започнете с основите:

  • Потвърдете версията на вашия appliance. Проверете текущо работещата версия и я сравнете с коригираните издания, изброени в съвета за сигурност на Ivanti за тези две уязвимости.
  • Прегледайте историята на актуализациите. Уверете се, че актуализацията действително е приложена и appliance-ът е рестартиран в коригираната версия, а не само изтеглена.
  • Погледнете назад към 1 октомври. Тъй като атаките датират най-малко от този ден, прегледайте логовете и всички резултати от проверки за цялост от този период нататък.
  • Проверете за свързани поправки. Уверете се, че по-ранните кръпки, включително тази за проблема CVE-2026-104935, също са налице.

Ако сте служител, а не администратор, не можете сами да актуализирате appliance-а, но можете да попитате вашия ИТ или екип по сигурност дали шлюзът Connect Secure е получил най-новата актуализация. Кратък, директен въпрос е разумен и често добре приет.

Какво да направите, ако вашият Connect Secure appliance не е актуализиран

Приложете кръпките възможно най-скоро, доколкото процесът ви за промени позволява. Тъй като тези уязвимости се експлоатират в реални условия, изчакването за рутинен прозорец за поддръжка носи реален риск.

Докато се подготвяте за актуализацията, обмислете ограничаване на кой може да достига до интерфейсите за управление на appliance-а и следвайте всички указания за временни мерки, които Ivanti предоставя. След кръпката стартирайте инструментите на доставчика за проверка на цялостта, ако са налични, и търсете необичайни сесии, неочаквани промени в конфигурацията или акаунти, които не разпознавате. Ако откриете признаци на компрометиране, третирайте го като инцидент: изолирайте appliance-а, запазете логовете и включете екипа си за реагиране на инциденти, преди да нулирате идентификационни данни, които може да са преминали през шлюза.

Какво означава това за вас

За администраторите посланието е ясно: проверете версията си, приложете кръпките и разследвайте периода от 1 октомври нататък. Коригираният appliance не е автоматично чист, ако е бил изложен преди актуализацията.

За ежедневните потребители на корпоративен VPN няма софтуер за инсталиране на собственото им устройство за този проблем, тъй като уязвимият компонент е шлюзът. Въпреки това това е добър момент да използвате силни, уникални пароли, да активирате многофакторна автентикация, където се предлага, и да докладвате всичко необичайно, като например неочаквани подкани за вход или известия за влизане.

Ключови изводи

  • Ivanti пусна актуализации за още две уязвимости в Connect Secure, свързани в zero-day атаки най-малко от 1 октомври.
  • Шлюзовете за отдалечен достъп са привлекателни цели, защото са изложени на интернет и им се доверява.
  • Свързаните уязвимости могат да бъдат по-вредни от всяка отделна грешка сама по себе си.
  • Потвърдете версията на вашия appliance, приложете кръпката за zero-day уязвимост в Ivanti Connect Secure сега и прегледайте активността от 1 октомври нататък.
  • За контекст относно продължаващия модел прочетете по-ранния ни доклад за заобикалянето на автентикацията CVE-2026-104935.

Ако използвате или администрирате Ivanti Connect Secure, проверете версията си днес и приложете актуализациите без забавяне.