Aktivni napadi povezuju tri Ivanti Connect Secure ranjivosti za pristup sa root ovlašćenjima
Ivanti je potvrdio eksploataciju lanca tri ranjivosti i dostupnost zakrpa za sve tri. Pored ažuriranja potrebna je provera kompromitacije; CISA za CVE-2026-111357 navodi rok 2. novembar za nadležne američke federalne organe.
Šta se desilo?
Ivanti potvrđuje napade koji povezuju CVE-2026-104935, CVE-2026-111357 i CVE-2026-118527. Volexity je opisao aktivnost grupe koju prati kao UTA0576, sa izvršavanjem koda uz root ovlašćenja. Dodatne zakrpe objavljene 29. oktobra pokrivaju preostale propuste, pa tvrdnja da je ispravljeno samo dva od tri više nije aktuelna.
Koga pogađa?
U granama 25.1.1 i 22.8 poslednja dva propusta pogađaju izdanja do 25.1.1.2, odnosno 22.8R2.5. Prema proizvođaču, grana 22.7 i starije nisu pogođene ovim problemom, kao ni 25.1.3.0 i novije. Za ranije izdanje 25.1.2 pratite Ivanti putanju migracije; ne treba ga poistovećivati sa zakrpljenom granom 25.1.3.
Kako se zaštititi?
- Ažurirajte odgovarajuću granu na 25.1.1.3 ili 22.8R2.6, odnosno novije podržano i zakrpljeno izdanje.
- Proverite kompatibilnost i uputstva proizvođača pre prelaska na drugu granu ili platformu.
- Kod sumnje na napad obezbedite mrežnu i memorijsku forenziku i sačuvajte dokaze pre oporavka uređaja.
- Nemojte isključiti kompromitaciju samo zato što Integrity Checker nije prijavio izmene.
- Procenu izloženih LDAP/AD naloga, LAPS lozinki i BitLocker ključeva uključite u odgovor na incident; rotaciju obavite sa pouzdanih sistema.
Tehnički detalji
Prema Ivantiju, CVE-2026-104935 zaobilazi autentifikaciju (CVSS 8,6), CVE-2026-111357 omogućava lokalnu eskalaciju privilegija (8,8), a CVE-2026-118527 omogućava upis sadržaja na predvidivu putanju (4,3). Njihovo povezivanje uklanja potrebu za prethodnom prijavom napadača. Volexity je u istraženom incidentu našao krađu kredencijala i tragove pristupa AD podacima, bez postavljanja web shell-a. CISA za CVE-2026-111357 navodi 2. novembar 2026. i obaveznu forenzičku trijažu u okviru federalne direktive.
Zašto je važno?
Zakrpa sprečava dalje iskorišćavanje propusta, ali sama ne vraća ukradene tajne niti dokazuje da napadač nije pristupio drugim sistemima. Federalni rok SAD nije opšti zakonski rok za organizacije u regionu.
Preporuka Sajber Radara
Tretirajte ažuriranje i proveru prethodne kompromitacije kao povezane zadatke. Uključite tim za odgovor na incidente ako postoje sumnjive sesije ili pristupi unutrašnjoj mreži sa VPN uređaja.