Nově zveřejněné obejití autentizace v Ivanti Connect Secure je již zneužíváno při útocích a CISA vyzývá organizace, aby jednaly rychle. Zranitelnost sledovaná jako CVE-2026-104935 je hodnocena jako vysoce závažná a jeden analytik citovaný ve zpravodajství Cyber Daily ji popisuje jako „neuvěřitelně jednoduchou" na zneužití. Pokud vaše organizace provozuje tuto VPN bránu, záplata pro nultodenní zranitelnost Ivanti Connect Secure by se měla přesunout na přední místo vašeho seznamu.

Veřejné podrobnosti jsou stále omezené, proto se tento příspěvek drží toho, co bylo oznámeno, a zaměřuje se na praktické kroky, které můžete podniknout.

Co je CVE-2026-104935 a proč je zneužívána

CVE-2026-104935 je obejití autentizace v Ivanti Connect Secure. Jednoduše řečeno, obejití autentizace umožňuje útočníkovi překonat přihlašovací krok, který má udržet cizí osoby mimo systém. Místo krádeže hesla nebo podvodu na uživatele útočník kontrolu úplně přeskočí.

Dva detaily vysvětlují, proč to přitahuje pozornost. Za prvé, zranitelnost je popsána jako nultodenní, kterou útočníci již cíleně zneužili. Za druhé, analytik ji označil za „neuvěřitelně jednoduchou" na zneužití. Jednoduché chyby, které nevyžadují přihlašovací údaje a jen malou dovednost, se obvykle rychle šíří, protože je může použít více útočníků a automatizované skenování se stává praktickým.

CISA vyzvala k rychlému jednání. Zdrojový článek nám neposkytuje další technické podrobnosti, jako jsou čísla ovlivněných verzí nebo identita útočníka, proto si tyto podrobnosti ověřte v oficiálním doporučení společnosti Ivanti, místo abyste se spoléhali na zprostředkované souhrny.

Je vaše VPN brána ovlivněna? Jak zkontrolovat příznaky kompromitace

Začněte základy: potvrďte, zda vůbec provozujete Ivanti Connect Secure, včetně starších nebo zapomenutých zařízení v pobočkách, testovacích prostředích nebo cloudových nasazeních. Nespravované brány jsou často právě ty, které zůstávají nezáplatované.

Poté porovnejte svou nainstalovanou verzi s verzemi uvedenými v doporučení společnosti Ivanti. Pokud se nacházíte v ovlivněném rozsahu, předpokládejte, že zařízení je v ohrožení, dokud nebude aktualizováno.

Protože útoky jsou údajně v proběhu, samotné záplatování nemusí stačit. Obejití, které bylo zneužito před existencí opravy, mohlo zanechat stopy. Mezi rozumné kroky patří:

  • Kontrola přihlašovacích a administrátorských protokolů na neočekávaná přihlášení, zejména z neznámých IP adres nebo v neobvyklých hodinách.
  • Hledání nových nebo změněných účtů, změn konfigurace nebo neznámých souborů v zařízení.
  • Spuštění jakéhokoli nástroje pro kontrolu integrity, který dodavatel poskytuje, a dodržování jeho pokynů k interpretaci výsledků.
  • Kontrola, zda je rozhraní pro správu dosažitelné z veřejného internetu, když to není nutné.

Pokud najdete cokoli podezřelého, považujte to za incident: izolujte zařízení, uchovejte protokoly a před opětovným uvedením do provozu postupujte podle pokynů dodavatele a CISA.

Kroky pro záplatování a zmírnění podle pokynů CISA

Nejjasnější instrukce je použít opravu dodavatele, jakmile bude pro vaši verzi k dispozici. Výzva CISA k rychlému jednání signalizuje, že čekání na rutinní okno údržby je v tomto případě riskantní volbou.

Praktický postup vypadá takto:

  1. Použijte aktualizaci. Nainstalujte záplatu poskytnutou společností Ivanti nebo postupujte podle jakéhokoli prozatímního zmírnění, které dodavatel zveřejní, pokud pro vaše vydání ještě není oprava k dispozici.
  2. Omezte expozici. Omezte přístup pro správu na důvěryhodné sítě a tam, kde je to možné, umístěte před bránu další kontroly.
  3. Vyměňte přihlašovací údaje, pokud je podezření na kompromitaci. To zahrnuje místní účty a všechny tajné klíče uložené v zařízení nebo dostupné prostřednictvím zařízení.
  4. Sledujte i poté. Udržujte zvýšené protokolování po určitou dobu po záplatování, protože dřívější průnik se nemusí projevit okamžitě.
  5. Dokumentujte a nahlaste. Zaznamenejte, co jste našli a provedli, a dodržujte všechny ohlašovací povinnosti, které se na vaši organizaci vztahují.

Pro přesné verze záplat a kroky zmírnění se obraťte přímo na společnost Ivanti a CISA, protože tyto pokyny mohou být aktualizovány podle vývoje situace.

Proč jsou VPN zařízení vysoce hodnotnými cíli

VPN brány sedí na okraji sítě a jsou ze své podstaty vystaveny internetu. To znamená, že jsou dosažitelné pro kohokoli, a úspěšná kompromitace může nabídnout přímou cestu k interním systémům. Útočníci je také mají rádi, protože tato zařízení často běží s rozsáhlými oprávněními a mohou spravovat přihlašovací údaje mnoha uživatelů.

Okrajová zařízení mohou být také obtížněji sledovatelná než notebooky nebo servery, protože nemusí podporovat stejné bezpečnostní agenty. Tato mezera dává útočníkům více času operovat bez povšimnutí. Tento vzorec je součástí širšího posunu, kdy útočníci jdou po infrastruktuře, která chrání přístup, což je téma, které se objevuje také v našem pohledu na to, jak se AI přesouvá z pomocníka útočníka na autonomního operátora v nedávných špionážních kampaních, kde rychlost a rozsah zvýhodňují útočníka.

Co to znamená pro vás

Pokud spravujete Ivanti Connect Secure, je to naléhavý úkol: identifikujte svá zařízení, záplatujte a zkontrolujte příznaky kompromitace. Nepředpokládejte, že tichý protokol znamená čisté zařízení.

Pokud jste zaměstnanec nebo vzdálený uživatel firemní VPN, nemůžete bránu záplatovat sami, ale můžete se zeptat svého IT týmu, zda je ovlivněna a zda byla oprava použita. Používejte silná, jedinečná hesla a vícefaktorové ověřování u svých účtů a nahlaste jakékoli neočekávané výzvy k přihlášení nebo upozornění na účet. Upozorňujeme, že obejití autentizace může přihlášení obejít, takže tyto návyky snižují riziko, ale nenahrazují záplatování.

Pokud používáte spotřebitelskou VPN službu, tento konkrétní problém se týká podnikového produktu společnosti Ivanti, nikoli spotřebitelských aplikací. Stále je to užitečná připomínka, že jakýkoli systém vzdáleného přístupu vystavený internetu vyžaduje pravidelné aktualizace.

Klíčové poznatky

  • Považujte záplatu pro nultodenní zranitelnost CVE-2026-104935 v Ivanti Connect Secure za naléhavou, protože útoky se údajně již dějí.
  • Potvrďte, které z vašich bran provozují Ivanti Connect Secure, a zkontrolujte jejich verze podle doporučení společnosti Ivanti.
  • Zkontrolujte protokoly a integritu zařízení na příznaky kompromitace, a to i po záplatování.
  • Postupujte podle pokynů CISA a oficiálních instrukcí společnosti Ivanti, jak jsou aktualizovány.
  • Využijte tento okamžik k přezkoumání toho, jak vaše organizace zabezpečuje infrastrukturu vzdáleného přístupu, včetně expozice rozhraní pro správu a monitorování okrajových zařízení.

Nejprve záplatujte, poté vyšetřujte a dál sledujte: toto pořadí vám dává nejlepší šanci být o krok napřed.