Nowo ujawnione obejście uwierzytelniania w Ivanti Connect Secure jest już wykorzystywane w atakach, a CISA wzywa organizacje do szybkiego działania. Sklasyfikowana jako CVE-2026-104935 luka ma wysoki poziom ważności, a jeden z analityków cytowanych w materiałach Cyber Daily określa ją jako „niezwykle prostą" do wykorzystania. Jeśli Twoja organizacja korzysta z tej bramy VPN, poprawka zero-day dla Ivanti Connect Secure powinna trafić na sam szczyt Twojej listy.

Publiczne szczegóły są wciąż ograniczone, dlatego ten artykuł skupia się na tym, co zostało zaraportowane, oraz na praktycznych krokach, które możesz podjąć.

Czym jest CVE-2026-104935 i dlaczego jest wykorzystywana

CVE-2026-104935 to obejście uwierzytelniania w Ivanti Connect Secure. Mówiąc prosto, obejście uwierzytelniania pozwala atakującemu ominąć etap logowania, który ma powstrzymywać osoby z zewnątrz przed dostępem do systemu. Zamiast kraść hasło lub oszukiwać użytkownika, atakujący całkowicie pomija tę kontrolę.

Dwa szczegóły wyjaśniają, dlaczego przyciąga to uwagę. Po pierwsze, luka jest opisywana jako zero-day, którą atakujący już obrali za cel. Po drugie, analityk nazwał ją „niezwykle prostą" do wykorzystania. Proste błędy, które nie wymagają poświadczeń i niewielkich umiejętności, zwykle rozprzestrzeniają się szybko, ponieważ więcej atakujących może z nich korzystać, a zautomatyzowane skanowanie staje się praktyczne.

CISA wezwała do szybkiego działania. Artykuł źródłowy nie podaje nam dalszych szczegółów technicznych, takich jak numery podatnych wersji czy tożsamość atakujących, więc sprawdź oficjalny biuletyn Ivanti, aby uzyskać te informacje, zamiast polegać na wtórnych podsumowaniach.

Czy Twoja brama VPN jest podatna? Jak sprawdzić oznaki kompromitacji

Zacznij od podstaw: potwierdź, czy w ogóle korzystasz z Ivanti Connect Secure, w tym starszych lub zapomnianych urządzeń w oddziałach, środowiskach testowych lub wdrożeniach w chmurze. Niezarządzane bramy to często te, które pozostają bez aktualizacji.

Następnie porównaj zainstalowaną wersję z wersjami wymienionymi w biuletynie Ivanti. Jeśli znajdujesz się w podatnym zakresie, przyjmij, że urządzenie jest zagrożone, dopóki nie zostanie zaktualizowane.

Ponieważ ataki według doniesień są w toku, sama aktualizacja może nie wystarczyć. Obejście wykorzystane przed pojawieniem się poprawki mogło pozostawić ślady. Rozsądne kroki obejmują:

  • Przegląd logów uwierzytelniania i administracyjnych pod kątem nieoczekiwanych logowań, zwłaszcza z nieznanych adresów IP lub o nietypowych godzinach.
  • Szukanie nowych lub zmienionych kont, zmian konfiguracji lub nieznanych plików na urządzeniu.
  • Uruchomienie dowolnego narzędzia do sprawdzania integralności dostarczonego przez producenta i postępowanie zgodnie z jego wskazówkami dotyczącymi interpretacji wyników.
  • Sprawdzenie, czy interfejs zarządzania jest osiągalny z publicznego internetu, gdy nie musi być.

Jeśli znajdziesz coś podejrzanego, potraktuj to jako incydent: odizoluj urządzenie, zabezpiecz logi i postępuj zgodnie z wytycznymi producenta oraz CISA, zanim przywrócisz je do pracy online.

Kroki dotyczące łatanania i mitygacji zgodnie z wytycznymi CISA

Najjaśniejsza instrukcja to zastosowanie poprawki producenta, gdy tylko będzie dostępna dla Twojej wersji. Wezwanie CISA do szybkiego działania sygnalizuje, że czekanie na rutynowe okno serwisowe jest w tym przypadku ryzykownym wyborem.

Praktyczna sekwencja wygląda następująco:

  1. Zastosuj aktualizację. Zainstaluj poprawkę dostarczoną przez Ivanti lub zastosuj się do tymczasowej mitygacji opublikowanej przez producenta, jeśli poprawka nie jest jeszcze dostępna dla Twojej wersji.
  2. Ogranicz ekspozycję. Ogranicz dostęp administracyjny do zaufanych sieci i, tam gdzie to możliwe, umieść dodatkowe zabezpieczenia przed bramą.
  3. Zmień poświadczenia, jeśli podejrzewasz kompromitację. Dotyczy to kont lokalnych oraz wszelkich sekretów przechowywanych na urządzeniu lub osiągalnych przez nie.
  4. Monitoruj afterwards. Utrzymuj podwyższony poziom logowania przez pewien czas po załataniu, ponieważ wcześniejsza intrusja może nie ujawnić się natychmiast.
  5. Dokumentuj i zgłaszaj. Zapisuj, co znalazłeś i co zrobiłeś, oraz przestrzegaj wszelkich obowiązków sprawozdawczych obowiązujących w Twojej organizacji.

Aby poznać dokładne wersje poprawek i kroki mitygacji, polegaj bezpośrednio na Ivanti i CISA, ponieważ te instrukcje mogą być aktualizowane w miarę rozwoju sytuacji.

Dlaczego urządzenia VPN są celami o wysokiej wartości

Bramy VPN znajdują się na krawędzi sieci, z założenia zwrócone w stronę internetu. To sprawia, że są osiągalne dla każdego, a udana kompromitacja może zapewnić bezpośrednią drogę do systemów wewnętrznych. Atakujący lubią je również dlatego, że urządzenia te często działają z szerokimi uprawnieniami i mogą obsługiwać poświadczenia wielu użytkowników.

Urządzenia brzegowe mogą być również trudniejsze do monitorowania niż laptopy czy serwery, ponieważ mogą nie obsługiwać tych samych agentów bezpieczeństwa. Ta luka daje atakującym więcej czasu na działanie niezauważenie. Ten wzorzec jest częścią szerszej zmiany, w której atakujący obierają za cel infrastrukturę chroniącą dostęp — motyw ten pojawia się również w naszym spojrzeniu na to, jak AI przechodzi od pomocnika atakującego do autonomicznego operatora w ostatnich kampaniach szpiegowskich, gdzie szybkość i skala sprzyjają atakującemu.

Co to oznacza dla Ciebie

Jeśli administrujesz Ivanti Connect Secure, to pilne zadanie: zidentyfikuj swoje urządzenia, załataj je i sprawdź oznaki kompromitacji. Nie zakładaj, że cichy log oznacza czyste urządzenie.

Jeśli jesteś pracownikiem lub zdalnym użytkownikiem firmowego VPN, nie możesz samodzielnie załatać bramy, ale możesz zapytać swój zespół IT, czy jest ona podatna i czy poprawka została zastosowana. Używaj silnych, unikalnych haseł i uwierzytelniania wieloskładnikowego na swoich kontach oraz zgłaszaj wszelkie nieoczekiwane prośby o zalogowanie lub alerty konta. Pamiętaj, że obejście uwierzytelniania może ominąć logowania, więc te nawyki zmniejszają ryzyko, ale nie zastępują łatanania.

Jeśli korzystasz z konsumenckiej usługi VPN, ten konkretny problem dotyczy produktu korporacyjnego Ivanti, a nie aplikacji konsumenckich. To jednak wciąż użyteczne przypomnienie, że każdy system zdalnego dostępu zwrócony w stronę internetu wymaga regularnych aktualizacji.

Kluczowe wnioski

  • Traktuj poprawkę zero-day dla Ivanti Connect Secure dotyczącą CVE-2026-104935 jako pilną, ponieważ według doniesień ataki już mają miejsce.
  • Potwierdź, które z Twoich bram korzystają z Ivanti Connect Secure, i sprawdź ich wersje względem biuletynu Ivanti.
  • Przejrzyj logi i integralność urządzenia pod kątem oznak kompromitacji, nawet po załataniu.
  • Postępuj zgodnie z wytycznymi CISA i oficjalnymi instrukcjami Ivanti w miarę ich aktualizacji.
  • Wykorzystaj ten moment, aby przejrzeć, jak Twoja organizacja zabezpiecza infrastrukturę zdalnego dostępu, w tym ekspozycję interfejsów zarządzania i monitorowanie urządzeń brzegowych.

Najpierw załataj, potem badaj, i stale obserwuj: ta kolejność daje Ci najlepszą szansę na wyprzedzenie tego zagrożenia.