O vulnerabilitate de tip ocolire a autentificării, recent dezvăluită în Ivanti Connect Secure, este deja exploatată în atacuri, iar CISA îndeamnă organizațiile să acționeze rapid. Identificată ca CVE-2026-104935, vulnerabilitatea este evaluată ca având severitate ridicată, iar un analist citat în relatarea Cyber Daily o descrie ca fiind „incredibil de simplu” de exploatat. Dacă organizația dumneavoastră rulează acest gateway VPN, patch-ul pentru zero-day-ul din Ivanti Connect Secure ar trebui să ajungă în fruntea listei dumneavoastră.

Detaliile publice sunt încă limitate, așa că această postare se limitează la ceea ce a fost raportat și se concentrează pe pașii practici pe care îi puteți întreprinde.

Ce este CVE-2026-104935 și de ce este exploatată

CVE-2026-104935 este o ocolire a autentificării în Ivanti Connect Secure. Pe scurt, o ocolire a autentificării permite unui atacator să treacă de pasul de autentificare care ar trebui să țină persoanele din exterior departe de un sistem. În loc să fure o parolă sau să păcălească un utilizator, atacatorul ocolește complet verificarea.

Două detalii explică de ce acest lucru atrage atenția. În primul rând, vulnerabilitatea este descrisă ca un zero-day pe care atacatorii l-au vizat deja. În al doilea rând, un analist a numit-o „incredibil de simplu” de exploatat. Vulnerabilitățile simple care nu necesită acreditări și puține competențe tind să se răspândească rapid, deoarece mai mulți atacatori le pot folosi, iar scanarea automatizată devine practică.

CISA a îndemnat la acțiune rapidă. Articolul sursă nu ne oferă alte detalii tehnice specifice, cum ar fi numerele versiunilor afectate sau identitatea atacatorilor, așa că verificați avizul oficial al Ivanti pentru aceste detalii în loc să vă bazați pe rezumate din surse secundare.

Este gateway-ul dumneavoastră VPN afectat? Cum să verificați semnele de compromitere

Începeți cu elementele de bază: confirmați dacă rulați deloc Ivanti Connect Secure, inclusiv aparatele mai vechi sau uitate din sucursale, mediile de testare sau implementările în cloud. Gateway-urile negestionate sunt adesea cele care rămân neactualizate.

Apoi comparați versiunea instalată cu versiunile listate în avizul Ivanti. Dacă vă aflați într-un interval afectat, presupuneți că dispozitivul este expus riscului până când este actualizat.

Deoarece atacurile sunt raportate ca fiind în desfășurare, aplicarea patch-ului singură poate să nu fie suficientă. O ocolire care a fost exploatată înainte de a exista o soluție ar putea fi lăsat urme. Pașii rezonabili includ:

  • Revizuirea jurnalelor de autentificare și administrative pentru autentificări neașteptate, în special de la adrese IP necunoscute sau la ore neobișnuite.
  • Căutarea de conturi noi sau modificate, modificări de configurare sau fișiere necunoscute pe aparat.
  • Rularea oricărui instrument de verificare a integrității oferit de furnizor și urmarea îndrumărilor acestuia privind semnificația rezultatelor.
  • Verificarea dacă interfața de management este accesibilă din internetul public atunci când nu este nevoie să fie.

Dacă găsiți ceva suspect, tratați-l ca pe un incident: izolați dispozitivul, păstrați jurnalele și urmați îndrumările furnizorului și ale CISA înainte de a-l readuce online.

Pași de aplicare a patch-ului și de atenuare conform îndrumărilor CISA

Instrucțiunea cea mai clară este să aplicați soluția furnizorului de îndată ce este disponibilă pentru versiunea dumneavoastră. Îndemnul CISA la acțiune rapidă semnalează că așteptarea unei ferestre de mentenanță de rutină este o alegere riscantă în acest caz.

O secvență practică arată astfel:

  1. Aplicați actualizarea. Instalați patch-ul furnizat de Ivanti sau urmați orice măsură de atenuare interimară publicată de furnizor dacă o soluție nu este încă disponibilă pentru versiunea dumneavoastră.
  2. Restrângeți expunerea. Limitați accesul de management la rețele de încredere și, acolo unde este posibil, plasați controale suplimentare în fața gateway-ului.
  3. Rotiți acreditările dacă se suspectează compromiterea. Aceasta include conturile locale și orice secrete stocate pe aparat sau accesibile prin intermediul acestuia.
  4. Monitorizați ulterior. Mențineți jurnalizarea sporită pentru o perioadă după aplicarea patch-ului, deoarece o intruziune anterioară ar putea să nu se manifeste imediat.
  5. Documentați și raportați. Înregistrați ce ați găsit și ce ați făcut și respectați orice obligații de raportare care se aplică organizației dumneavoastră.

Pentru versiunile exacte ale patch-ului și pașii de atenuare, bazați-vă direct pe Ivanti și CISA, deoarece aceste instrucțiuni pot fi actualizate pe măsură ce situația evoluează.

De ce aparatele VPN sunt ținte de mare valoare

Gateway-urile VPN se află la marginea unei rețele, orientate spre internet prin proiectare. Acest lucru le face accesibile oricui, iar o compromitere reușită poate oferi o rută directă către sistemele interne. Atacatorilor le plac și pentru că aceste dispozitive rulează adesea cu privilegii extinse și pot gestiona acreditările multor utilizatori.

Aparatele de la marginea rețelei pot fi, de asemenea, mai greu de monitorizat decât laptopurile sau serverele, deoarece este posibil să nu accepte aceiași agenți de securitate. Acest decalaj le oferă atacatorilor mai mult timp să acționeze fără a fi observați. Tiparul face parte dintr-o schimbare mai amplă în care atacatorii vizează infrastructura care protejează accesul, o temă care apare și în analiza noastră despre cum AI trece de la ajutor al atacatorilor la operator autonom în campaniile recente de spionaj, unde viteza și amploarea favorizează atacatorul.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă administrați Ivanti Connect Secure, aceasta este o sarcină urgentă: identificați-vă dispozitivele, aplicați patch-ul și verificați semnele de compromitere. Nu presupuneți că un jurnal liniștit înseamnă un dispozitiv curat.

Dacă sunteți angajat sau utilizator la distanță al unui VPN corporativ, nu puteți aplica patch-ul pe gateway singur, dar puteți întreba echipa IT dacă este afectat și dacă soluția a fost aplicată. Folosiți parole puternice și unice și autentificare multi-factor pentru conturile dumneavoastră și raportați orice solicitări neașteptate de autentificare sau alerte de cont. Rețineți că o ocolire a autentificării poate ocoli autentificările, așa că aceste obiceiuri reduc riscul, dar nu înlocuiesc aplicarea patch-ului.

Dacă folosiți un serviciu VPN pentru consumatori, această problemă specifică privește produsul enterprise al Ivanti, nu aplicațiile pentru consumatori. Este totuși o reamintire utilă că orice sistem de acces la distanță expus internetului necesită actualizări regulate.

Concluzii cheie

  • Tratați patch-ul pentru zero-day-ul din Ivanti Connect Secure pentru CVE-2026-104935 ca urgent, deoarece atacurile se raportează că au loc deja.
  • Confirmați care dintre gateway-urile dumneavoastră rulează Ivanti Connect Secure și verificați versiunile acestora față de avizul Ivanti.
  • Revizuiți jurnalele și integritatea aparatului pentru semne de compromitere, chiar și după aplicarea patch-ului.
  • Urmați îndrumările CISA și instrucțiunile oficiale ale Ivanti pe măsură ce sunt actualizate.
  • Profitați de acest moment pentru a revizui modul în care organizația dumneavoastră securizează infrastructura de acces la distanță, inclusiv expunerea interfețelor de management și monitorizarea dispozitivelor de la marginea rețelei.

Aplicați patch-ul mai întâi, investigați în al doilea rând și continuați să urmăriți: această ordine vă oferă cea mai bună șansă de a rămâne înaintea acestei amenințări.