CISA dodaje luki Ivanti Connect Secure do katalogu KEV po potwierdzonej aktywnej eksploatacji

Wprowadzenie do problemu / definicja

Amerykańska agencja CISA rozszerzyła katalog Known Exploited Vulnerabilities o kolejne podatności dotyczące Ivanti Connect Secure, popularnej platformy VPN wykorzystywanej do zdalnego dostępu do zasobów organizacji. Umieszczenie luk w katalogu KEV oznacza, że nie są to wyłącznie teoretyczne słabości, ale problemy wykorzystywane w rzeczywistych atakach, wymagające pilnej reakcji ze strony zespołów bezpieczeństwa.

W skrócie

CISA dodała do katalogu KEV podatności CVE-2026-111357 oraz CVE-2026-118527.
Luki były wykorzystywane w łańcuchu ataku razem z CVE-2026-104935.
Scenariusz eksploatacji obejmował obejście uwierzytelnienia, zdalne wykonanie kodu oraz eskalację uprawnień.
Skutkiem mogło być pełne przejęcie urządzenia VPN i dalsza kompromitacja środowiska.
Ivanti opublikowało poprawki dla wspieranych wersji produktu.

Kontekst / historia

Ivanti Connect Secure od dłuższego czasu znajduje się w centrum zainteresowania grup atakujących infrastrukturę brzegową. Urządzenia VPN są szczególnie cennym celem, ponieważ stanowią punkt styku pomiędzy Internetem a siecią wewnętrzną organizacji. Ich przejęcie może zapewnić napastnikowi szeroki dostęp do ruchu, poświadczeń oraz systemów administracyjnych.

W opisywanym przypadku badacze bezpieczeństwa wskazali aktywne wykorzystanie łańcucha zero-day przeciwko w pełni załatanym urządzeniom Ivanti Connect Secure. Dalsza analiza wykazała, że poza wcześniej nagłośnioną luką CVE-2026-104935, w kampanii wykorzystywano także dodatkowe podatności, które zwiększały skuteczność ataku i umożliwiały utrzymanie dostępu.

Dodanie tych błędów do katalogu KEV ma istotne znaczenie operacyjne. To wyraźny sygnał dla sektora publicznego i prywatnego, że zagrożenie jest realne, aktywne i wymaga priorytetowego podejścia do aktualizacji oraz weryfikacji oznak kompromitacji.

Analiza techniczna

CVE-2026-111357 została opisana jako brak odpowiedniej kontroli uwierzytelnienia dla krytycznej funkcji, co może umożliwić lokalnemu, uwierzytelnionemu atakującemu podniesienie uprawnień. W praktyce oznacza to, że po uzyskaniu wstępnego dostępu przeciwnik może zwiększyć zakres swoich uprawnień i rozszerzyć kontrolę nad systemem.

CVE-2026-118527 dotyczy przewidywalnego identyfikatora, który może pozwolić uwierzytelnionemu zdalnemu napastnikowi na przesłanie plików ze złośliwą zawartością do znanej lokalizacji w systemie. Choć sama luka może wydawać się mniej krytyczna, jej znaczenie rośnie w scenariuszu łańcuchowym, gdzie wspiera kolejne etapy kompromitacji.

Kluczowym elementem kampanii była jednak łączona eksploatacja z CVE-2026-104935, opisywaną jako podatność umożliwiająca obejście uwierzytelnienia i zdalne wykonanie kodu. Taki zestaw tworzy klasyczny, wieloetapowy łańcuch ataku na urządzenie perymetryczne: najpierw uzyskanie dostępu bez prawidłowego logowania, następnie wykonanie kodu, a ostatecznie eskalacja uprawnień do poziomu root.

Według dostępnych informacji napastnicy po uzyskaniu dostępu koncentrowali się na pozyskaniu danych o wysokiej wartości operacyjnej, w tym poświadczeń Active Directory, haseł LAPS oraz kluczy odzyskiwania BitLocker. To wskazuje, że celem ataków nie było wyłącznie przejęcie samego appliance’u VPN, ale również rozszerzenie kompromitacji na szerszą infrastrukturę przedsiębiorstwa.

Ivanti udostępniło poprawki usuwające opisane problemy. Organizacje korzystające z wersji 25.1.1.2 i wcześniejszych powinny przejść do 25.1.1.3, a środowiska działające na 22.8R2.5 i wcześniejszych do 22.8R2.6. Producent wskazał również, że część problemów została wcześniej zaadresowana w linii 25.1.3.0.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem eksploatacji jest pełna kompromitacja urządzenia odpowiedzialnego za zdalny dostęp. W praktyce może to prowadzić do przejęcia sesji administracyjnych, kradzieży poświadczeń, ruchu lateralnego oraz naruszenia systemów domenowych i stacji roboczych.

Szczególnie niebezpieczny jest wysoki poziom zaufania, jakim urządzenia VPN cieszą się w architekturze sieci. Po ich przejęciu napastnik może działać z uprzywilejowanej pozycji, omijając część mechanizmów filtracji, segmentacji i monitoringu, które częściej koncentrują się na klasycznych punktach końcowych.

Dla organizacji oznacza to również ryzyko długotrwałej i trudnej do wykrycia obecności przeciwnika. Jeśli w trakcie incydentu doszło do wycieku poświadczeń domenowych lub innych sekretów administracyjnych, samo wdrożenie poprawek może nie wystarczyć do pełnego usunięcia zagrożenia.

Rekomendacje

Priorytetem powinno być niezwłoczne zastosowanie poprawek we wszystkich wspieranych instancjach Ivanti Connect Secure. Jeżeli aktualizacje nie zostały jeszcze wdrożone, system należy traktować jako potencjalnie narażony na aktywną eksploatację.

Zespoły bezpieczeństwa powinny przeprowadzić przegląd logów i telemetrii pod kątem nietypowych prób uwierzytelnienia, zmian konfiguracji, anomalii w transferze plików oraz oznak ruchu lateralnego inicjowanego z appliance’u VPN. Szczególną uwagę warto poświęcić aktywności związanej z kontrolerami domeny, odczytem sekretów LAPS oraz dostępem do danych odzyskiwania BitLocker.

W środowiskach o podwyższonym ryzyku warto rozważyć działania wykraczające poza samo patchowanie.

Wymuszenie resetu haseł uprzywilejowanych.
Rotację kont serwisowych i sekretów administracyjnych.
Unieważnienie aktywnych sesji.
Przegląd mechanizmów trwałości i integralności systemów.
Ograniczenie ekspozycji usług zdalnego dostępu oraz egzekwowanie MFA.

Dobrą praktyką pozostaje również wdrożenie detekcji ukierunkowanej na zachowania poeksploatacyjne, a nie wyłącznie na sygnatury znanych exploitów.

Podsumowanie

Dodanie CVE-2026-111357 i CVE-2026-118527 do katalogu KEV potwierdza, że zagrożenie dotyczące Ivanti Connect Secure ma charakter praktyczny i operacyjny. W połączeniu z CVE-2026-104935 podatności te tworzą groźny łańcuch prowadzący do przejęcia urządzeń VPN oraz dalszej kompromitacji środowiska. Dla organizacji kluczowe pozostają szybkie aktualizacje, weryfikacja oznak włamania oraz ocena, czy atakujący nie uzyskał już dostępu do poświadczeń i zasobów wewnętrznych.