Wprowadzenie do problemu
Ivanti Connect Secure to jedna z kluczowych platform zdalnego dostępu i VPN wykorzystywanych w środowiskach firmowych. Ze względu na swoje położenie na styku Internetu i sieci wewnętrznej, urządzenia tego typu są szczególnie atrakcyjnym celem dla napastników. Najnowsze doniesienia pokazują, że w tym przypadku nie chodziło o pojedynczą lukę, lecz o cały łańcuch podatności zero-day umożliwiający przejęcie kontroli nad urządzeniem.
Producent opublikował poprawki dla dwóch dodatkowych błędów, które były wykorzystywane razem z wcześniej ujawnioną luką. To istotny sygnał dla organizacji, że wcześniejsze działania naprawcze mogły nie wystarczyć do pełnego zamknięcia ścieżki ataku.
W skrócie
- Ivanti załatało podatności CVE-2026-111357 oraz CVE-2026-118527.
- Obie luki były łączone z wcześniej ujawnioną CVE-2026-104935.
- Łańcuch ataku pozwalał przejść od braku uwierzytelnienia do wykonania kodu z uprawnieniami root.
- Ataki miały charakter rzeczywistego wykorzystania przeciwko ograniczonej liczbie klientów.
- CISA dodała nowe identyfikatory do katalogu Known Exploited Vulnerabilities.
Kontekst i historia
Pierwsze ostrzeżenia dotyczyły podatności CVE-2026-104935, związanej z obejściem uwierzytelniania w Ivanti Connect Secure. Gdy luka została ujawniona, wiele organizacji wdrożyło dostępne poprawki, zakładając, że ryzyko zostało ograniczone. Późniejsze analizy wykazały jednak, że atakujący korzystali z bardziej rozbudowanego zestawu błędów.
Ivanti rozszerzyło komunikat bezpieczeństwa o dwa kolejne CVE, które w praktyce uzupełniały wcześniejszą podatność. To klasyczny przykład sytuacji, w której początkowa łatka eliminuje tylko fragment łańcucha eksploatacji, a pełny obraz zagrożenia pojawia się dopiero po dalszej analizie incydentu i działań napastników.
Analiza techniczna
Nowo opisane podatności to CVE-2026-111357 oraz CVE-2026-118527. Pierwsza z nich została oceniona na 8.8 w skali CVSS i dotyczy braku odpowiedniego uwierzytelnienia dla krytycznej funkcji, co umożliwia eskalację uprawnień. W obserwowanym scenariuszu odpowiadała za etap podnoszenia uprawnień po uzyskaniu wstępnego dostępu.
Druga luka, CVE-2026-118527, ma niższą ocenę CVSS 4.3, jednak jej znaczenie rośnie w ataku łączonym. Problem wynika z przewidywalnych identyfikatorów i może umożliwić uwierzytelnionemu napastnikowi przesłanie plików z kontrolowaną zawartością do znanej lokalizacji w systemie. Tego typu mechanizm sam w sobie może wydawać się ograniczony, ale w połączeniu z obejściem uwierzytelniania i eskalacją uprawnień staje się praktycznym elementem pełnej kompromitacji.
Podatności dotyczą wersji 25.1.1.2 i wcześniejszych oraz 22.8R2.5 i wcześniejszych. Poprawki wprowadzono w wersjach 25.1.1.3 oraz 22.8R2.6. Oznacza to, że środowiska zaktualizowane jedynie do wcześniejszych buildów naprawiających CVE-2026-104935 mogły nadal pozostawać podatne na kompletny łańcuch ataku.
Z dostępnych informacji wynika, że napastnicy byli w stanie doprowadzić do nieuwierzytelnionego wykonania kodu z uprawnieniami root na urządzeniu uznawanym wcześniej za w pełni załatane. Po przejęciu appliance’u obserwowano między innymi kradzież poświadczeń, eksfiltrację danych, skanowanie sieci wewnętrznej oraz manipulowanie logami.
Konsekwencje i ryzyko
Skutki kompromitacji urządzeń dostępowych tego typu są szczególnie poważne. Brama VPN lub secure access często stanowi jeden z najbardziej uprzywilejowanych punktów infrastruktury, a jej przejęcie może umożliwić dalszy ruch boczny, zbieranie danych uwierzytelniających i omijanie części mechanizmów ochronnych.
Dodatkowym problemem jest fakt, że atak działał przeciwko urządzeniom, które z perspektywy administratora mogły wyglądać na poprawnie zabezpieczone po wcześniejszej aktualizacji. To zwiększa ryzyko fałszywego poczucia bezpieczeństwa i wymusza retrospektywną analizę zdarzeń, szczególnie w okresie między pierwszym komunikatem a publikacją pełnego zestawu poprawek.
Dodanie nowych CVE do katalogu Known Exploited Vulnerabilities potwierdza praktyczne znaczenie zagrożenia. Dla zespołów bezpieczeństwa oznacza to konieczność potraktowania tych luk jako priorytetu w procesie aktualizacji, skanowania ekspozycji i threat huntingu.
Rekomendacje
Organizacje korzystające z Ivanti Connect Secure powinny przede wszystkim zweryfikować wersję wdrożonego oprogramowania i upewnić się, że urządzenia działają na buildach zawierających komplet poprawek. Sama reakcja na wcześniejszy komunikat mogła nie wystarczyć do pełnego usunięcia ryzyka.
- zaktualizować urządzenia do wersji wskazanych przez producenta,
- przeprowadzić przegląd logów i artefaktów pod kątem nieautoryzowanych zmian, uploadu plików i anomalii uwierzytelniania,
- sprawdzić możliwość manipulacji logami oraz oznaki ukrywania aktywności,
- dokonać rotacji poświadczeń, zwłaszcza kont administracyjnych i tokenów sesyjnych,
- zweryfikować integralność konfiguracji i samego appliance’u,
- przeanalizować ruch wychodzący pod kątem eksfiltracji danych,
- prowadzić hunting pod kątem ruchu bocznego z segmentu, w którym działa urządzenie.
W środowiskach o podwyższonych wymaganiach bezpieczeństwa warto również rozważyć czasowe ograniczenie ekspozycji urządzeń do Internetu, dodatkowe zabezpieczenie dostępu administracyjnego oraz lepsze odseparowanie płaszczyzny zarządzania od zwykłego ruchu użytkowników.
Podsumowanie
Przypadek Ivanti Connect Secure pokazuje, jak groźne są wieloetapowe łańcuchy zero-day wymierzone w urządzenia brzegowe. Dwie nowe podatności, CVE-2026-111357 i CVE-2026-118527, uzupełniły wcześniej ujawnioną CVE-2026-104935, umożliwiając napastnikom uzyskanie pełnych uprawnień na systemach wystawionych do Internetu.
Dla organizacji najważniejsze są obecnie trzy działania: pełna aktualizacja, weryfikacja potencjalnej historycznej kompromitacji oraz rotacja poświadczeń połączona ze wzmocnieniem monitoringu. W przypadku platform zdalnego dostępu nawet krótkie opóźnienie reakcji może przełożyć się na utratę kontroli nad krytycznym elementem infrastruktury.
Źródła
- https://www.securityweek.com/ivanti-patches-two-more-zero-days-exploited-in-connect-secure-attack-chain/
- https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-Authentication-Bypass-and-Post-Auth-RCE?language=en_US
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://www.volexity.com/blog/2026/10/13/more-zero-days-more-problems-ivanti-connect-secure-actively-exploited/