Ivanti har udgivet sikkerhedsopdateringer til yderligere to sårbarheder i sin Connect Secure (ICS)-fjernadgangsgateway, og virksomheden siger, at de er blevet kædet sammen i zero-day-angreb siden mindst 1. oktober. Hvis din organisation kører applikationen, er denne Ivanti Connect Secure zero-day-patch en, der bør prioriteres.

De detaljer, der hidtil er tilgængelige, er begrænsede, så dette indlæg holder sig til det, der er rapporteret, og fokuserer på praktiske skridt for administratorer og medarbejdere, der er afhængige af gatewayen.

Hvad Ivanti patchede, og hvornår angrebene begyndte

Ifølge rapporten udgav Ivanti opdateringer, der dækker yderligere to sårbarheder i Connect Secure, den fjernadgangsgateway som mange organisationer bruger til at lade medarbejdere nå interne systemer udefra. Sårbarhederne blev udnyttet som zero-days, hvilket betyder, at angribere brugte dem, før der fandtes en rettelse.

Den centrale tidslinjedetalje er, at angrebene har fundet sted siden mindst 1. oktober. Udtrykket "mindst" er vigtigt: det signalerer, at dette er den tidligste aktivitet, der hidtil er bekræftet, ikke nødvendigvis den første. Organisationer, der kørte uopdaterede applikationer i den periode, bør overveje muligheden for, at de var eksponeret, i stedet for at antage, at rettelsen alene afslutter sagen.

Sårbarhederne blev også kædet sammen, hvilket betyder, at angriberne kombinerede dem i stedet for at stole på en enkelt fejl. Den detalje former, hvordan forsvarere bør tænke om risikoen.

Hvorfor kædede exploits på VPN-gateways er så farlige

En fjernadgangsgateway sidder ved kanten af et netværk. Den er designet til at være tilgængelig fra internettet, og den er betroet til at forbinde eksterne brugere til interne ressourcer. Den kombination gør den til et mål af høj værdi: et vellykket kompromittering kan give et fodfæste på et sted, der både er eksponeret og godt forbundet.

Kædning gør dette mere alvorligt. En sårbarhed kan give en angriber begrænset adgang, mens en anden kan udvide den adgang eller gøre den til noget mere magtfuldt. Brugt sammen kan to fejl, der hver især måske ville være håndterbare alene, summere til et meget større problem. Forsvarere, der triagerer ved at se på hver fejl isoleret, kan undervurdere den reelle påvirkning.

Dette er også en del af et bredere mønster. Vores tidligere dækning af Ivanti Connect Secure-godkendelsesomgåelsen sporet som CVE-2026-104935 beskrev en anden fejl i samme produkt, som allerede blev brugt i angreb. At se en anden runde af zero-days i samme gateway understreger, hvorfor disse applikationer fortjener tæt opmærksomhed.

Sådan kontrollerer du, om din arbejds-VPN-gateway er patchet

Hvis du administrerer Connect Secure, begynd med det grundlæggende:

  • Bekræft din applikationsversion. Kontroller den version, der aktuelt kører, og sammenlign den med de rettede udgivelser, der er angivet i Ivantis sikkerhedsrådgivning for disse to fejl.
  • Gennemgå din opdateringshistorik. Bekræft, at opdateringen faktisk blev anvendt, og at applikationen genstartede i det patchede build, ikke blot blev downloadet.
  • Se tilbage til 1. oktober. Fordi angrebene daterer sig til mindst den dag, skal du gennemgå logs og eventuelle integritetskontrolresultater fra den periode og frem.
  • Kontroller for relaterede rettelser. Sørg for, at tidligere patches, herunder den for CVE-2026-104935-problemet, også er på plads.

Hvis du er medarbejder snarere end administrator, kan du ikke patche applikationen selv, men du kan spørge din IT- eller sikkerhedsafdeling, om Connect Secure-gatewayen har fået den seneste opdatering. Et kort, direkte spørgsmål er rimeligt og ofte velkomment.

Hvad du skal gøre, hvis din Connect Secure-applikation ikke er opdateret

Anvend patchene, så snart din ændringsproces tillader det. Fordi disse fejl udnyttes i naturen, indebærer det en reel risiko at vente på et rutinemæssigt vedligeholdelsesvindue.

Mens du forbereder opdateringen, bør du overveje at begrænse, hvem der kan nå applikationens administrationsgrænseflader, og følge enhver midlertidig afbødningsvejledning fra Ivanti. Efter patching bør du køre leverandørens integritetskontrolværktøjer, hvis de er tilgængelige, og lede efter usædvanlige sessioner, uventede konfigurationsændringer eller konti, du ikke genkender. Hvis du finder tegn på kompromittering, skal du behandle det som en hændelse: isoler applikationen, bevar logs, og inddrag dit incident response-team, før du nulstiller legitimationsoplysninger, der kan være passeret gennem gatewayen.

Hvad dette betyder for dig

For administratorer er budskabet ligetil: bekræft din version, patch, og undersøg perioden siden 1. oktober. En rettet applikation er ikke automatisk en ren applikation, hvis den var eksponeret før opdateringen.

For almindelige brugere af en virksomheds-VPN er der ingen software at installere på din egen enhed for dette problem, da den sårbare komponent er gatewayen. Det er dog et godt øjeblik til at bruge stærke, unikke adgangskoder, aktivere multifaktor-godkendelse, hvor det tilbydes, og rapportere alt mærkeligt, såsom uventede loginprompter eller loginalarmer.

Vigtige pointer

  • Ivanti har udgivet opdateringer til yderligere to Connect Secure-fejl, der er kædet sammen i zero-day-angreb siden mindst 1. oktober.
  • Fjernadgangsgateways er attraktive mål, fordi de vender mod internettet og er betroet.
  • Kædede fejl kan være mere skadelige end hver af fejlene alene.
  • Bekræft din applikationsversion, anvend Ivanti Connect Secure zero-day-patchen nu, og gennemgå aktivitet fra 1. oktober og frem.
  • For baggrund om det igangværende mønster kan du læse vores tidligere rapport om CVE-2026-104935-godkendelsesomgåelsen.

Hvis du bruger eller administrerer Ivanti Connect Secure, skal du kontrollere din version i dag og anvende opdateringerne uden forsinkelse.