Ivanti har utgitt sikkerhetsoppdateringer for to nye sårbarheter i Connect Secure (ICS)-gatewayen for ekstern tilgang, og selskapet sier de har blitt lenket sammen i nulldagsangrep siden minst 1. oktober. Hvis organisasjonen din bruker enheten, er denne Ivanti Connect Secure-nulldagsoppdateringen en du bør prioritere.

Detaljene som er tilgjengelige så langt er begrensede, så dette innlegget holder seg til det som er rapportert og fokuserer på praktiske tiltak for administratorer og ansatte som er avhengige av gatewayen.

Hva Ivanti rettet og når angrepene begynte

Ifølge rapporten utstedte Ivanti oppdateringer som dekker to ekstra sårbarheter i Connect Secure, gatewayen for ekstern tilgang som mange organisasjoner bruker for å la ansatte nå interne systemer fra utenfor kontoret. Sårbarhetene ble utnyttet som nulldager, noe som betyr at angripere brukte dem før en rettelse fantes.

Det viktige tidslinjedetaljet er at angrepene har pågått siden minst 1. oktober. Uttrykket "minst" er viktig: det signaliserer at dette er den tidligste aktiviteten som så langt er bekreftet, ikke nødvendigvis den første. Organisasjoner som kjørte uoppdaterte enheter i den perioden, bør vurdere muligheten for at de var eksponert, i stedet for å anta at rettelsen alene avslutter saken.

Sårbarhetene ble også lenket sammen, noe som betyr at angripere kombinerte dem i stedet for å stole på en enkelt feil. Detaljen former hvordan forsvarere bør tenke om risikoen.

Hvorfor lenkede utnyttelser på VPN-gatewayer er så farlige

En gateway for ekstern tilgang ligger i kanten av et nettverk. Den er nåbar fra internettet ved design, og den er betrodd å koble eksterne brukere til interne ressurser. Den kombinasjonen gjør den til et høyverdimål: en vellykket kompromittering kan gi et fotfeste på et sted som både er eksponert og godt tilkoblet.

Lenking gjør dette mer alvorlig. En sårbarhet kan gi en angriper begrenset tilgang, mens en andre kan utvide den tilgangen eller gjøre den til noe kraftigere. Brukt sammen kan to sårbarheter som hver for seg kanskje er håndterbare, summere seg til et mye større problem. Forsvarere som prioriterer ved å se på hver feil isolert, kan undervurdere den reelle påvirkningen.

Dette er også en del av et bredere mønster. Vår tidligere dekning av Ivanti Connect Secure-autentiseringsomgåelsen sporet som CVE-2026-104935 beskrev en annen sårbarhet i samme produkt som allerede ble brukt i angrep. Å se en andre runde med nulldager i samme gateway understreker hvorfor disse enhetene fortjener nøye oppmerksomhet.

Hvordan sjekke om arbeids-VPN-gatewayen din er oppdatert

Hvis du administrerer Connect Secure, start med det grunnleggende:

  • Bekreft enhetsversjonen din. Sjekk versjonen som kjører nå, og sammenlign den med de rettede utgivelsene som er oppført i Ivantis sikkerhetsrådgivning for disse to sårbarhetene.
  • Gå gjennom oppdateringshistorikken din. Verifiser at oppdateringen faktisk ble brukt og at enheten startet på nytt inn i den rettede versjonen, ikke bare ble lastet ned.
  • Se tilbake til 1. oktober. Fordi angrepene dateres til minst den dagen, gå gjennom logger og eventuelle integritetssjekkresultater fra den perioden og fremover.
  • Se etter relaterte rettelser. Forsikre deg om at tidligere oppdateringer, inkludert den for CVE-2026-104935-problemet, også er på plass.

Hvis du er ansatt og ikke administrator, kan du ikke oppdatere enheten selv, men du kan spørre IT- eller sikkerhetsteamet om Connect Secure-gatewayen har fått den nyeste oppdateringen. Et kort, direkte spørsmål er rimelig og ofte velkomment.

Hva du bør gjøre hvis Connect Secure-enheten din ikke er oppdatert

Bruk oppdateringene så snart endringsprosessen din tillater det. Fordi disse sårbarhetene utnyttes i villmarken, innebærer det reell risiko å vente på et rutinemessig vedlikeholdsvindu.

Mens du forbereder oppdateringen, bør du vurdere å begrense hvem som kan nå enhetens administrasjonsgrensesnitt og følge eventuell midlertidig avbøtende veiledning fra Ivanti. Etter oppdatering, kjør leverandørens verktøy for integritetssjekk hvis tilgjengelig, og se etter uvanlige økter, uventede konfigurasjonsendringer eller kontoer du ikke kjenner igjen. Hvis du finner tegn til kompromittering, behandle det som en hendelse: isoler enheten, bevar logger og involver hendelsesrespons-teamet ditt før du tilbakestiller legitimasjon som kan ha passert gjennom gatewayen.

Hva dette betyr for deg

For administratorer er budskapet enkelt: verifiser versjonen din, oppdater, og undersøk perioden siden 1. oktober. En oppdatert enhet er ikke automatisk en ren enhet hvis den var eksponert før oppdateringen.

For vanlige brukere av en bedrifts-VPN er det ingen programvare å installere på din egen enhet for dette problemet, siden den sårbare komponenten er gatewayen. Det er likevel et godt tidspunkt å bruke sterke, unike passord, aktivere flerfaktorautentisering der det tilbys, og rapportere alt rart, som uventede innloggingsforespørsler eller påloggingsvarsler.

Viktige punkter

  • Ivanti har utgitt oppdateringer for to nye Connect Secure-sårbarheter lenket i nulldagsangrep siden minst 1. oktober.
  • Gatewayer for ekstern tilgang er attraktive mål fordi de er internettvendte og betrodde.
  • Lenkede sårbarheter kan være mer skadelige enn hver feil alene.
  • Bekreft enhetsversjonen din, bruk Ivanti Connect Secure-nulldagsoppdateringen nå, og gå gjennom aktivitet fra 1. oktober og fremover.
  • For bakgrunn om det pågående mønsteret, les vår tidligere rapport om CVE-2026-104935-autentiseringsomgåelsen.

Hvis du bruker eller administrerer Ivanti Connect Secure, sjekk versjonen din i dag og bruk oppdateringene uten forsinkelse.