Ivanti wydało aktualizacje zabezpieczeń dla dwóch kolejnych luk w swojej bramie dostępu zdalnego Connect Secure (ICS), a firma twierdzi, że zostały one połączone w ataki zero-day od co najmniej 1 października. Jeśli Twoja organizacja korzysta z tego urządzenia, ta łatka na Ivanti Connect Secure zero-day powinna być priorytetem.

Dostępne jak dotąd szczegóły są ograniczone, więc ten wpis skupia się na tym, co zostało zgłoszone, oraz na praktycznych krokach dla administratorów i pracowników, którzy polegają na tej bramie.

Co Ivanti załatało i kiedy rozpoczęły się ataki

Według doniesień Ivanti wydało aktualizacje obejmujące dwie dodatkowe podatności w Connect Secure, bramie dostępu zdalnego, której wiele organizacji używa, aby umożliwić pracownikom dostęp do systemów wewnętrznych spoza biura. Luki były wykorzystywane jako zero-day, co oznacza, że atakujący używali ich, zanim istniała poprawka.

Kluczowym szczegółem dotyczącym osi czasu jest to, że ataki mają miejsce od co najmniej 1 października. Sformułowanie „co najmniej” ma znaczenie: sygnalizuje, że jest to najwcześniejsza dotychczas potwierdzona aktywność, a niekoniecznie pierwsza. Organizacje, które w tym okresie używały niezałatanych urządzeń, powinny rozważyć możliwość, że były narażone, zamiast zakładać, że sama poprawka zamyka sprawę.

Luki zostały również połączone, co oznacza, że atakujący łączyli je, zamiast polegać na pojedynczym błędzie. Ten szczegół kształtuje sposób, w jaki obrońcy powinni myśleć o ryzyku.

Dlaczego łańcuchowe exploity na bramach VPN są tak niebezpieczne

Brama dostępu zdalnego znajduje się na krawędzi sieci. Jest z założenia osiągalna z internetu i ma zaufanie do łączenia zewnętrznych użytkowników z zasobami wewnętrznymi. Ta kombinacja czyni ją celem o wysokiej wartości: udane przejęcie może zapewnić punkt zaczepienia w miejscu, które jest zarówno wystawione, jak i dobrze połączone.

Łańcuchowanie czyni to poważniejszym. Jedna podatność może dać atakującemu ograniczony dostęp, podczas gdy druga może go rozszerzyć lub zamienić w coś potężniejszego. Użyte razem, dwie luki, z których każda z osobna mogłaby być do opanowania, mogą sumować się do znacznie większego problemu. Obrońcy, którzy triażują, patrząc na każdy błąd w izolacji, mogą nie doceniać rzeczywistego wpływu.

Jest to również część szerszego wzorca. Nasze wcześniejsze omówienie obejścia uwierzytelniania w Ivanti Connect Secure oznaczonego jako CVE-2026-104935 opisywało inną lukę w tym samym produkcie, która była już wykorzystywana w atakach. Widok drugiej rundy zero-day w tej samej bramie podkreśla, dlaczego te urządzenia zasługują na szczególną uwagę.

Jak sprawdzić, czy Twoja firmowa brama VPN jest załatana

Jeśli administrujesz Connect Secure, zacznij od podstaw:

  • Potwierdź wersję urządzenia. Sprawdź aktualnie uruchomioną wersję i porównaj ją z poprawionymi wydaniami wymienionymi w biuletynie bezpieczeństwa Ivanti dla tych dwóch luk.
  • Przejrzyj historię aktualizacji. Zweryfikuj, że aktualizacja została faktycznie zastosowana, a urządzenie zostało ponownie uruchomione w załatanej kompilacji, a nie tylko pobrana.
  • Cofnij się do 1 października. Ponieważ ataki sięgają co najmniej tego dnia, przejrzyj logi i wszelkie wyniki kontroli integralności od tego okresu wzwyż.
  • Sprawdź powiązane poprawki. Upewnij się, że wcześniejsze łatki, w tym ta dla problemu CVE-2026-104935, również są na miejscu.

Jeśli jesteś pracownikiem, a nie administratorem, nie możesz sam załatać urządzenia, ale możesz zapytać swój zespół IT lub bezpieczeństwa, czy brama Connect Secure otrzymała najnowszą aktualizację. Krótkie, bezpośrednie pytanie jest rozsądne i często mile widziane.

Co zrobić, jeśli Twoje urządzenie Connect Secure nie jest zaktualizowane

Zastosuj łatki tak szybko, jak pozwala na to Twój proces zmian. Ponieważ te luki są wykorzystywane w rzeczywistych atakach, czekanie na rutynowe okno konserwacyjne niesie realne ryzyko.

Podczas przygotowań do aktualizacji rozważ ograniczenie tego, kto może uzyskać dostęp do interfejsów zarządzania urządzeniem, i postępuj zgodnie z wszelkimi tymczasowymi wytycznymi dotyczącymi mitygacji, które zapewnia Ivanti. Po załataniu uruchom narzędzia dostawcy do sprawdzania integralności, jeśli są dostępne, i szukaj nietypowych sesji, nieoczekiwanych zmian konfiguracji lub kont, których nie rozpoznajesz. Jeśli znajdziesz oznaki kompromitacji, potraktuj to jako incydent: odizoluj urządzenie, zachowaj logi i zaangażuj swój zespół reagowania na incydenty, zanim zresetujesz poświadczenia, które mogły przejść przez bramę.

Co to oznacza dla Ciebie

Dla administratorów przesłanie jest proste: zweryfikuj swoją wersję, załataj i zbadaj okres od 1 października. Załatane urządzenie nie jest automatycznie czyste, jeśli było narażone przed aktualizacją.

Dla codziennych użytkowników firmowego VPN nie ma oprogramowania do zainstalowania na własnym urządzeniu w związku z tym problemem, ponieważ podatnym komponentem jest brama. To jednak dobry moment, aby używać silnych, unikalnych haseł, włączyć uwierzytelnianie wieloskładnikowe, gdzie jest oferowane, i zgłaszać wszystko, co dziwne, na przykład nieoczekiwane monity logowania lub alerty logowania.

Najważniejsze wnioski

  • Ivanti wydało aktualizacje dla dwóch kolejnych luk w Connect Secure połączonych w ataki zero-day od co najmniej 1 października.
  • Bramy dostępu zdalnego są atrakcyjnymi celami, ponieważ są wystawione na internet i mają zaufanie.
  • Połączone luki mogą być bardziej szkodliwe niż każdy z błędów osobno.
  • Potwierdź wersję urządzenia, zastosuj teraz łatkę na Ivanti Connect Secure zero-day i przejrzyj aktywność od 1 października wzwyż.
  • Aby poznać tło trwającego wzorca, przeczytaj nasz wcześniejszy raport o obejściu uwierzytelniania CVE-2026-104935.

Jeśli używasz lub administrujesz Ivanti Connect Secure, sprawdź dziś swoją wersję i zastosuj aktualizacje bez zwłoki.