Ivanti har släppt säkerhetsuppdateringar för ytterligare två brister i sin fjärråtkomstgateway Connect Secure (ICS), och företaget uppger att de har kedjats samman i nolldagarsattacker sedan åtminstone 1 oktober. Om din organisation kör denna enhet är denna patch för Ivanti Connect Secure nolldagars-sårbarhet en att prioritera.

Detaljerna som hittills finns tillgängliga är begränsade, så det här inlägget håller sig till det som rapporterats och fokuserar på praktiska åtgärder för administratörer och anställda som är beroende av gatewayen.

Vad Ivanti patchade och när attackerna började

Enligt rapporten har Ivanti utfärdat uppdateringar som täcker ytterligare två sårbarheter i Connect Secure, den fjärråtkomstgateway som många organisationer använder för att låta personal nå interna system utanför kontoret. Bristerna utnyttjades som nolldagar, vilket innebär att angripare använde dem innan en rättning fanns.

Den viktigaste tidslinjedetaljen är att attackerna har pågått sedan åtminstone 1 oktober. Formuleringen "åtminstone" spelar roll: den signalerar att detta är den tidigaste aktivitet som bekräftats hittills, inte nödvändigtvis den första. Organisationer som körde opatchade enheter under den perioden bör överväga möjligheten att de var exponerade, i stället för att anta att rättningen ensam stänger boken.

Bristerna var också kedjade, vilket innebär att angripare kombinerade dem i stället för att förlita sig på en enda bugg. Den detaljen formar hur försvarare bör tänka kring risken.

Varför kedjade exploateringar mot VPN-gatewayer är så farliga

En fjärråtkomstgateway sitter i kanten av ett nätverk. Den är nåbar från internet genom design, och den är betrodd att ansluta externa användare till interna resurser. Den kombinationen gör den till ett högvärdigt mål: en lyckad kompromiss kan ge ett fotfäste på en plats som både är exponerad och väl ansluten.

Kedjning gör detta allvarligare. En sårbarhet kan ge en angripare begränsad åtkomst, medan en andra kan utöka den åtkomsten eller förvandla den till något kraftfullare. Använda tillsammans kan två brister som var för sig kanske skulle vara hanterbara summera till ett mycket större problem. Försvarare som triagerar genom att titta på varje bugg isolerat kan underskatta den verkliga påverkan.

Detta är också en del av ett bredare mönster. Vår tidigare rapportering om Ivanti Connect Secure-autentiseringsbypass spårad som CVE-2026-104935 beskrev en annan brist i samma produkt som redan användes i attacker. Att se en andra omgång nolldagars i samma gateway understryker varför dessa enheter förtjänar noggrann uppmärksamhet.

Så kontrollerar du om din arbets-VPN-gateway är patchad

Om du administrerar Connect Secure, börja med grunderna:

  • Bekräfta din enhetsversion. Kontrollera versionen som körs just nu och jämför den med de rättade versionerna som listas i Ivantis säkerhetsrådgivning för dessa två brister.
  • Granska din uppdateringshistorik. Verifiera att uppdateringen faktiskt tillämpades och att enheten startades om i den patchade versionen, inte bara laddades ned.
  • Blicka tillbaka till 1 oktober. Eftersom attackerna dateras till åtminstone den dagen, granska loggar och eventuella integritetskontrollresultat från den perioden och framåt.
  • Kontrollera relaterade rättningar. Se till att tidigare patchar, inklusive den för CVE-2026-104935-problemet, också är på plats.

Om du är anställd snarare än administratör kan du inte patcha enheten själv, men du kan fråga ditt IT- eller säkerhetsteam om Connect Secure-gatewayen har fått den senaste uppdateringen. En kort, direkt fråga är rimlig och ofta välkommen.

Vad du ska göra om din Connect Secure-enhet inte är uppdaterad

Tillämpa patcharna så snart din ändringsprocess tillåter. Eftersom dessa brister utnyttjas i det vilda innebär det en verklig risk att vänta på ett rutinmässigt underhållsfönster.

Medan du förbereder uppdateringen, överväg att begränsa vem som kan nå enhetens hanteringsgränssnitt och följa eventuell tillfällig mitigationsvägledning som Ivanti tillhandahåller. Efter patchning, kör leverantörens integritetskontrollverktyg om sådana finns, och leta efter ovanliga sessioner, oväntade konfigurationsändringar eller konton du inte känner igen. Om du hittar tecken på kompromiss, behandla det som en incident: isolera enheten, bevara loggar och involvera ditt incidenthanteringsteam innan du återställer autentiseringsuppgifter som kan ha passerat genom gatewayen.

Vad detta innebär för dig

För administratörer är budskapet rakt på sak: verifiera din version, patcha och undersök perioden sedan 1 oktober. En rättad enhet är inte automatiskt en ren enhet om den var exponerad före uppdateringen.

För vanliga användare av ett företags-VPN finns det ingen programvara att installera på din egen enhet för detta problem, eftersom den sårbara komponenten är gatewayen. Ändå är det ett bra tillfälle att använda starka, unika lösenord, aktivera multifaktorautentisering där det erbjuds och rapportera allt märkligt, såsom oväntade inloggningsuppmaningar eller inloggningsaviseringar.

Viktiga slutsatser

  • Ivanti har släppt uppdateringar för ytterligare två Connect Secure-brister som kedjats i nolldagarsattacker sedan åtminstone 1 oktober.
  • Fjärråtkomstgatewayer är attraktiva mål eftersom de är internetexponerade och betrodda.
  • Kedjade brister kan vara mer skadliga än någon av buggarna ensam.
  • Bekräfta din enhetsversion, tillämpa Ivanti Connect Secure nolldagars-patch nu och granska aktivitet från 1 oktober och framåt.
  • För bakgrund om det pågående mönstret, läs vår tidigare rapport om CVE-2026-104935-autentiseringsbypass.

Om du använder eller administrerar Ivanti Connect Secure, kontrollera din version idag och tillämpa uppdateringarna utan dröjsmål.