Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

CISA wpisała do KEV wykorzystywaną podatność w bramie VPN Ivanti Connect Secure, termin mija 16 października

Rodzaj
Streszczenie
Data
Aktualizacja
Kategoria
Incydenty
Redakcja
Paweł Rosół
Źródło
CISA Known Exploited Vulnerabilities ()

Ivanti ostrzega przed wykorzystywaną w atakach podatnością CVE-2026-104935 w Connect Secure, która pozwala zdalnie i bez logowania wykonać polecenia. CISA dodała ją do katalogu KEV z terminem 16 października 2026 r.

Ivanti wezwała klientów do natychmiastowej aktualizacji bramy dostępu zdalnego Ivanti Connect Secure (ICS), w której wykryto wykorzystywaną w atakach podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. zero-dayZero-day Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę., oznaczoną CVE-2026-104935. Zdalny napastnik bez uwierzytelnienia może wykonać dowolne polecenia na urządzeniu, a według BleepingComputer atak jest niskiej złożoności i nie wymaga interakcji użytkownika. Podatność dotyczy wersji 22.8R2.4 i wcześniejszych, 25.1.2.2 i wcześniejszych oraz 25.1.1.1 i wcześniejszych.

CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. dodała ją do katalogu KEVKatalog KEV Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności. z terminem 16 października 2026 r. Wymaga zastosowania środków zaradczych zgodnie z instrukcją producenta, a gdy ich nie ma, zaprzestania korzystania z produktu. Wykorzystanie w kampaniach ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. CISA opisuje jako nieznane.

Podatność znalazła firma Volexity. Według jej raportu, przytoczonego przez BleepingComputer, grupa śledzona jako UTA0576 łączyła ją od co najmniej 3 października z dwiema innymi podatnościami i uzyskiwała wykonanie kodu z uprawnieniami root nawet na w pełni zaktualizowanych urządzeniach. Napastnik nie instalował złośliwego oprogramowania ani web shella, modyfikował logi i omijał Integrity Checker Tool. Firma Defused potwierdziła raport i podaje, że pierwsze ślady wykorzystania zauważyła już 1 października. Ivanti załatała dwie podatności z łańcucha, a nad trzecią, umożliwiającą podniesienie uprawnień, wciąż pracuje.

Shadowserver widzi ponad 5500 instancji ICS dostępnych z internetu. Jeśli używasz ICS, sprawdź wersję i to, czy urządzenie jest wystawione do sieci, a następnie zainstaluj poprawkę według zaleceń Ivanti, która prosi też o regularne uruchamianie Integrity Checker Tool. Ponieważ Volexity opisuje obejście tego narzędzia, jego wynik nie daje pewności, że urządzenie nie zostało naruszone.

Aktualizacja z 15 października 2026

Ivanti wydała wersje z poprawką: 22.8R2.5, 25.1.3.0, 25.1.3.1 i 25.1.1.2. Według BleepingComputer stało się to we wtorek, a klienci zostali wezwani do natychmiastowego działania z powodu ograniczonego wykorzystania w atakach. Kanadyjskie Cyber Centre w komunikacie AV26-1035 wymienia dla Connect Secure wersje 25.2.2 i wcześniejsze, 25.1.1.1 i wcześniejsze oraz 22.8R2.4 i wcześniejsze, a opublikowany wyżej tekst podawał 25.1.2.2 i wcześniejsze. Tej rozbieżności nie rozstrzygam. Tego samego dnia Cyber Centre opisało też podatności w Ivanti Xtraction i Ivanti Neurons Patch for Intune (CVE-2026-109412).

CISA wydała osobne ostrzeżenie dla wszystkich organizacji, bo termin z BOD 26-04 obejmuje tylko federalne agencje cywilne. Pisze w nim, że Integrity Checker Tool może nie wykryć wykorzystania podatności, ponieważ polecenia napastnika wykonują się w pamięci, a ustalenie włamania wymaga analizy sieci i pamięci. Przy skompromitowanym urządzeniu CISA zaleca kopię konfiguracji, reset do ustawień fabrycznych z aktualizacją (w środowisku wirtualnym odbudowę instancji), odtworzenie konfiguracji i reset haseł wszystkich kont, w tym domenowych, administratorów i lokalnych. Trzeba też unieważnić i ponownie wystawić certyfikaty oraz zresetować klucze API i poświadczenia serwera licencji.

Volexity opisuje, że po wejściu napastnik celował w poświadczenia Active Directory, w tym hasła LAPS i klucze odzyskiwania BitLockera. Z niską pewnością ocenia jego motywację jako przestępczą, nie szpiegowską. Ivanti współpracuje z ograniczoną liczbą klientów, u których doszło do wykorzystania. Shadowserver widzi już ponad 5600 hostów z odciskiem ICS dostępnych z internetu.

Aktualizacja z 15 października 2026, godz. 13:22

Ivanti opisała w tym samym komunikacie dwa kolejne produkty z podatnościami, które mogą ujawnić poświadczenia, a opublikowany tekst wspomina o nich tylko ogólnie. Według DiarioBitcoin CVE-2026-109412 w usłudze chmurowej Neurons Patch for Intune ma ocenę CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. 9,9 i pozwala zdalnie uwierzytelnionemu napastnikowi uzyskać dostęp do danych uwierzytelniających. Ivanti wdrożyła poprawkę we wszystkich środowiskach chmurowych 16 września, więc klient nie instaluje aktualizacji. Producent zaleca jednak zmianę client secret rejestracji aplikacji w Microsoft Entra ID, której używa się do publikowania w Intune. Ivanti nie znała klientów skompromitowanych przez tę podatność.

W Xtraction ujawniono pięć podatności. Najpoważniejsza, CVE-2026-106042 (CVSS 9,9), pozwala uwierzytelnionemu napastnikowi przekierować żądania aplikacji na serwer pod jego kontrolą i przechwycić poświadczenia konektora EPMM. Pozostałe cztery to CVE-2026-106047 (odczyt dowolnych plików), CVE-2026-106043 (utworzenie lub zmiana zaufanej witryny bez uwierzytelnienia), CVE-2026-106034 (modyfikacja katalogów) i CVE-2026-106035 (hasła SQL widoczne w logach aplikacji). Dotyczy to Xtraction 2026.2.1 i wcześniejszych. Ivanti zaleca aktualizację do wersji 2026.4 i rotację poświadczeń konektorów EPMM. Producent nie znał klientów skompromitowanych przez te podatności ani publicznego exploita typu proof of concept.

Źródła

Pojęcia w tym tekście (6)
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
Zero-day
Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.
CISA
Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.
Katalog KEV
Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności.
Ransomware
Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.
CVSS
Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.