Ivanti-nuldagssårbarheder gav root-adgang til opdaterede VPN-gateways
Ivanti advarer om aktiv udnyttelse af nuldagssårbarheden CVE-2026-104935 i Connect Secure (ICS). Ifølge sikkerhedsfirmaet Volexity blev sårbarheden brugt som led i en angrebskæde, der gav angribere root-adgang til fuldt opdaterede VPN-enheder.
Det skriver Security Week.
Tre sårbarheder gav fuld adgang
EUVD-2026-98816 / CVE-2026-104935 er en autentificeringsomgåelse, som gør det muligt for en ekstern angriber at udføre kommandoer uden gyldige legitimationsoplysninger. CVSS-scoren er 8,6. EPSS er ikke tilgængelig endnu.
Volexity har konstateret, at en trusselsaktør, identificeret som UTA0576, kombinerede tre nuldagssårbarheder for at opnå uautoriseret root-adgang. Sårbarheden dækker både autentificeringsomgåelsen og den efterfølgende fjernudførelse af kode, mens en tredje privilegieeskaleringssårbarhed endnu ikke er rettet.
Ivanti har udsendt sikkerhedsopdateringer til de to førstnævnte fejl, men arbejder fortsat på en patch til den sidste del af angrebskæden.
Fokus på legitimationsoplysninger
Volexity fandt tegn på aktivitet fra mindst 3. oktober. Efter kompromitteringen koncentrerede angriberne sig primært om indsamling af legitimationsoplysninger og information fra Active Directory.
Ifølge undersøgelsen blev der blandt andet søgt efter:
- Domænelegitimationsoplysninger
- LAPS-adgangskoder
- BitLocker-gendannelsesnøgler
- Gyldige brugerkonti
Der blev også gennemført password-spraying, netværksrekognoscering og indsamling af konfigurationsdata fra de kompromitterede VPN-gateways.
Volexity vurderer, at aktiviteterne sandsynligvis var forberedelse til lateral bevægelse og yderligere kompromittering af de berørte miljøer.
Begrænset antal ofre
Ivanti oplyser, at et begrænset antal kunder er blevet ramt. Det særlige ved hændelsen er, at de kompromitterede enheder allerede var fuldt opdaterede, hvilket understreger udfordringen ved nuldagssårbarheder.
Opdateringer er nu tilgængelige for versionerne 22.8R2.5, 25.1.1.2, 25.1.3.0 og 25.1.3.1 af Ivanti Connect Secure. Organisationer med interneteksponerede ICS-installationer bør derfor kontrollere versioner og gennemgå logdata for tegn på kompromittering.