Novootkriveni zaobilazak autentifikacije u Ivanti Connect Secure već se koristi u napadima, a CISA poziva organizacije na brzo djelovanje. Pod oznakom CVE-2026-104935, ranjivost je ocijenjena visokom ozbiljnošću, a jedan analitičar citiran u izvješću Cyber Dailyja opisuje je kao "nevjerojatno jednostavnu" za iskorištavanje. Ako vaša organizacija koristi ovaj VPN gateway, zakrpa za Ivanti Connect Secure zero-day trebala bi doći na vrh vaše liste.
Javno dostupni detalji još su ograničeni, pa se ovaj tekst drži onoga što je objavljeno i fokusira se na praktične korake koje možete poduzeti.
Što je CVE-2026-104935 i zašto se iskorištava
CVE-2026-104935 je zaobilazak autentifikacije u Ivanti Connect Secure. Jednostavno rečeno, zaobilazak autentifikacije omogućuje napadaču da zaobiđe korak prijave koji bi trebao spriječiti vanjske osobe da pristupe sustavu. Umjesto da ukrade lozinku ili prevari korisnika, napadač u potpunosti preskače provjeru.
Dva detalja objašnjavaju zašto ovo privlači pozornost. Prvo, ranjivost je opisana kao zero-day koju su napadači već iskoristili. Drugo, analitičar ju je nazvao "nevjerojatno jednostavnom" za iskorištavanje. Jednostavne greške koje ne zahtijevaju vjerodajnice i malo vještine obično se brzo šire, jer ih više napadača može koristiti, a automatizirano skeniranje postaje praktično.
CISA je pozvala na brzo djelovanje. Izvorni članak ne daje nam dodatne tehničke pojedinosti, poput brojeva zahvaćenih verzija ili identiteta napadača, pa provjerite službenu preporuku tvrtke Ivanti za te detalje umjesto da se oslanjate na prepričavanja iz druge ruke.
Je li vaš VPN gateway zahvaćen? Kako provjeriti znakove kompromitacije
Počnite od osnova: potvrdite koristite li uopće Ivanti Connect Secure, uključujući starije ili zaboravljene uređaje u podružnicama, testnim okruženjima ili cloud implementacijama. Neupravljani gatewayi često su upravo oni koji ostaju nezakrpani.
Zatim usporedite instaliranu verziju s verzijama navedenima u preporuci tvrtke Ivanti. Ako se nalazite u zahvaćenom rasponu, pretpostavite da je uređaj u opasnosti dok se ne ažurira.
Budući da su napadi navodno u tijeku, samo zakrpanje možda neće biti dovoljno. Zaobilazak koji je iskorišten prije nego što je popravak postojao mogao je ostaviti tragove. Razumni koraci uključuju:
- Pregledavanje zapisnika autentifikacije i administracije radi neočekivanih prijava, posebno s nepoznatih IP adresa ili u neobično vrijeme.
- Traženje novih ili izmijenjenih računa, promjena konfiguracije ili nepoznatih datoteka na uređaju.
- Pokretanje bilo kojeg alata za provjeru integriteta koji pruža dobavljač i praćenje njegovih smjernica o značenju rezultata.
- Provjeru je li sučelje za upravljanje dostupno s javnog interneta kada to nije potrebno.
Ako pronađete bilo što sumnjivo, tretirajte to kao incident: izolirajte uređaj, sačuvajte zapisnike i slijedite smjernice dobavljača i CISA-e prije nego što ga ponovno stavite online.
Koraci zakrpanja i ublažavanja prema smjernicama CISA-e
Najjasnija uputa je primijeniti popravak dobavljača čim bude dostupan za vašu verziju. Poziv CISA-e na brzo djelovanje signalizira da je čekanje na rutinski prozor održavanja ovdje riskantan izbor.
Praktičan slijed izgleda ovako:
- Primijenite ažuriranje. Instalirajte zakrpu koju pruža Ivanti ili slijedite bilo kakvo privremeno ublažavanje koje dobavljač objavi ako popravak još nije dostupan za vaše izdanje.
- Ograničite izloženost. Ograničite pristup upravljanju na pouzdane mreže i, gdje je moguće, postavite dodatne kontrole ispred gatewaya.
- Rotirajte vjerodajnice ako se sumnja na kompromitaciju. To uključuje lokalne račune i sve tajne podatke pohranjene na uređaju ili dostupne putem njega.
- Nadzirite nakon toga. Zadržite pojačano bilježenje zapisnika neko vrijeme nakon zakrpanja, jer se raniji upad možda neće odmah pokazati.
- Dokumentirajte i prijavite. Zabilježite što ste pronašli i učinili te slijedite sve obveze prijave koje se primjenjuju na vašu organizaciju.
Za točne verzije zakrpa i korake ublažavanja oslonite se izravno na Ivanti i CISA-u, jer se te upute mogu ažurirati kako se situacija razvija.
Zašto su VPN uređaji mete visoke vrijednosti
VPN gatewayi nalaze se na rubu mreže i po dizajnu su okrenuti prema internetu. To ih čini dostupnima svakome, a uspješna kompromitacija može ponuditi izravan put do unutarnjih sustava. Napadači ih također vole jer ti uređaji često rade s širokim privilegijama i mogu upravljati vjerodajnicama za mnoge korisnike.
Rubne uređaje također može biti teže nadzirati od prijenosnih računala ili poslužitelja, jer možda ne podržavaju iste sigurnosne agente. Taj jaz napadačima daje više vremena za rad bez primijećenosti. Ovaj obrazac dio je šireg pomaka u kojem napadači ciljaju infrastrukturu koja štiti pristup, tema koja se također pojavljuje u našem pregledu kako AI prelazi iz pomoćnika napadača u autonomnog operatera u nedavnim špijunskim kampanjama, gdje brzina i razmjer idu u korist napadača.
Što to znači za vas
Ako administrirate Ivanti Connect Secure, ovo je hitan zadatak: identificirajte svoje uređaje, zakrpajte ih i provjerite znakove kompromitacije. Nemojte pretpostavljati da tihi zapisnik znači čist uređaj.
Ako ste zaposlenik ili udaljeni korisnik korporativnog VPN-a, ne možete sami zakrpati gateway, ali možete pitati svoj IT tim je li zahvaćen i je li popravak primijenjen. Koristite jake, jedinstvene lozinke i višefaktorsku autentifikaciju na svojim računima te prijavite svaki neočekivani upit za prijavu ili obavijest o računu. Imajte na umu da zaobilazak autentifikacije može zaobići prijave, pa te navike smanjuju rizik, ali ne zamjenjuju zakrpanje.
Ako koristite uslugu potrošačkog VPN-a, ovaj konkretni problem tiče se Ivantijevog poslovnog proizvoda, a ne potrošačkih aplikacija. Ipak je koristan podsjetnik da svaki sustav za daljinski pristup okrenut internetu treba redovita ažuriranja.
Ključne poante
- Tretirajte zakrpu za Ivanti Connect Secure zero-day za CVE-2026-104935 kao hitnu, jer se napadi navodno već događaju.
- Potvrdite koji od vaših gatewaya koriste Ivanti Connect Secure i provjerite njihove verzije u odnosu na Ivantijevu preporuku.
- Pregledajte zapisnike i integritet uređaja radi znakova kompromitacije, čak i nakon zakrpanja.
- Slijedite smjernice CISA-e i službene upute tvrtke Ivanti kako se ažuriraju.
- Iskoristite ovaj trenutak za pregled načina na koji vaša organizacija osigurava infrastrukturu za daljinski pristup, uključujući izloženost sučelja za upravljanje i nadzor rubnih uređaja.
Prvo zakrpajte, zatim istražite i nastavite pratiti: taj redoslijed daje vam najbolju šansu da ostanete korak ispred ove ranjivosti.
FAQ: Q1: Što je CVE-2026-104935? A1: CVE-2026-104935 je zaobilazak autentifikacije u Ivanti Connect Secure koji napadaču omogućuje da zaobiđe korak prijave koji bi trebao spriječiti vanjske osobe da pristupe sustavu. Q2: Zašto se ova ranjivost smatra toliko opasnom? A2: To je zero-day koju su napadači već iskoristili, a analitičar ju je opisao kao 'nevjerojatno jednostavnu' za iskorištavanje, što znači da ne zahtijeva vjerodajnice ni mnogo vještine, zbog čega se brzo širi. Q3: Kako mogu znati je li moja organizacija zahvaćena? A3: Potvrdite koristite li Ivanti Connect Secure, uključujući zaboravljene uređaje u podružnicama, testnim okruženjima ili cloud implementacijama, zatim usporedite instaliranu verziju sa zahvaćenim verzijama u Ivantijevoj preporuci. Q4: Je li samo zakrpanje dovoljno ako je uređaj možda već bio iskorišten? A4: Ne, jer iskorišteni zaobilazak mogao je ostaviti tragove, pa biste trebali pregledati zapisnike autentifikacije i administracije, potražiti nove račune ili promjene konfiguracije, pokrenuti alate dobavljača za provjeru integriteta i provjeriti je li sučelje za upravljanje javno dostupno. Q5: Što bih trebao učiniti prvo kako bih riješio ovu ranjivost? A5: Primijenite popravak dobavljača čim bude dostupan za vašu verziju, jer je CISA pozvala na brzo djelovanje umjesto čekanja na rutinski prozor održavanja. ---END---
