Amenințarea zero-day
Ivanti a publicat oficial un patch de urgență pentru platforma Connect Secure (ICS), adresat vulnerabilității CVE-2026-104935. Este vorba despre o breșă gravă de bypass al autentificării care este exploatată activ în mediul online. Cu un scor CVSS de 8,6, această eroare le permite atacatorilor neautentificați să execute comenzi arbitrare de la distanță pe echipamentele vizate. Ivanti a confirmat că un număr restrâns de clienți au fost deja ținta acestor atacuri, ceea ce impune actualizarea imediată a software-ului la cele mai recente versiuni.
Cercetătorii în securitate de la Volexity, care au identificat problema, au atribuit atacurile grupării UTA0576. Spre deosebire de grupurile avansate sponsorizate de state, dovezile sugerează un motiv de natură criminală. În loc să recurgă la shell-uri web tradiționale sau la malware persistent, atacatorii au utilizat comenzile native ale echipamentului pentru a fura credențiale, a exfiltra date și a desfășura activități de recunoaștere în rețea. Volexity suspectează că gruparea ar putea utiliza modele de limbaj mari (LLM) pentru a-și rafina eficiența operațională, având în vedere utilizarea unor scripturi extrem de specifice și a unor tipare neconvenționale de execuție a comenzilor.
De ce este important
Descoperirea acestui exploit evidențiază dificultățile continue ale Ivanti, compania confruntându-se cu un tipar recurent de vulnerabilități zero-day în hardware-ul Connect Secure pentru al treilea an consecutiv. Acest incident este îngrijorător deoarece lanțul de atac a implicat trei vulnerabilități distincte. Deși actualizarea curentă rezolvă riscurile principale de bypass al autentificării și execuție de cod de la distanță, Ivanti a recunoscut existența unei vulnerabilități separate de escaladare a privilegiilor care rămâne necorectată. O soluție pentru această componentă finală a lanțului de atac este programată pentru lansare în săptămânile următoare.
Versiuni afectate și recomandări
- 25.1.1.1 și versiunile anterioare
- 25.1.2.2 și versiunile anterioare
- 22.8R2.4 și versiunile anterioare
Pentru organizațiile care utilizează aceste versiuni, intervenția este obligatorie. Ivanti recomandă insistent clienților să instaleze fără întârziere cele mai noi versiuni patch-uite. Mai mult, administratorii sunt sfătuiți să ruleze periodic instrumentul „Ivanti Integrity Checker” pentru a detecta eventuale semne de acces neautorizat sau de manipulare persistentă a mediilor de rețea.
Trecerea atacatorilor la utilizarea comenzilor native ale echipamentelor, în detrimentul shell-urilor web, face detectarea mult mai dificilă pentru instrumentele standard de monitorizare a securității. Deoarece atacatorii au fost surprinși în fazele incipiente ale operațiunilor lor, experții consideră că obiectivele acestora – cel mai probabil mișcări laterale extinse – au fost contracarate eficient. Totuși, natura recurentă a acestor vulnerabilități subliniază nevoia ca organizațiile să implementeze strategii de apărare în profunzime (defense-in-depth) atunci când se bazează pe echipamente de securitate perimetrală.
