Nowe podatności w Ivanti Connect Secure znów spędzają sen z powiek administratorom. Jeśli na brzegu sieci trzymacie urządzenia VPN od Ivanti (dawniej Pulse Secure), musicie pilnie działać. Amerykańska agencja CISA właśnie dodała dwie nowe luki w tym oprogramowaniu do katalogu aktywnie wykorzystywanych błędów (KEV).
W połączeniu z błędem załatanym w połowie października, hakerzy zyskali kompletny łańcuch exploitów (exploit chain). W rezultacie atakujący przejmują pełną kontrolę nad urządzeniem (root) prosto z internetu. Co gorsza, nie potrzebują do tego żadnego loginu ani hasła.
Podatności w Ivanti Connect Secure – szybkie podsumowanie (TL;DR)
- Co zawiera błędy: Urządzenia VPN Ivanti Connect Secure (ICS) w wersjach
22.8R2.xoraz25.1.x. - Co zyskuje agresor: Zdalnie omija uwierzytelnianie, wgrywa własny plik i podnosi uprawnienia do
roota. - Status zagrożenia: Trwają aktywne ataki (prowadzi je grupa śledzona przez Volexity jako UTA0576).
- Dlaczego to groźne: Hakerzy modyfikują biblioteki bezpośrednio w pamięci RAM. Dzięki temu wbudowany skaner Ivanti Integrity Checker Tool (ICT) pokazuje, że „wszystko jest czyste”.
Techniczna anatomia ataku: 3 kroki do roota
Jeszcze w połowie października producent łatał krytyczną lukę CVE-2026-104935. Wówczas badacze z firm Volexity oraz watchTowr zauważyli, że jeden identyfikator przykrywał dwa różne błędy. Teraz układanka jest już kompletna, a brakujące ogniwa otrzymały własne wpisy CVE.
Jak dokładnie działają te trzy podatności w Ivanti Connect Secure? Atak przebiega w trzech prostych krokach:
1. CVE-2026-104935 (CVSS: 8.6) – Ominięcie logowania i RCE
To główny punkt wejścia. Eksploatacja jest banalnie prosta. Wystarczy wysłać jedno zapytanie HTTP (np. do ścieżki /dana-na/auth/url_default/welcome.cgi) ze spreparowanym nagłówkiem X-DSCGI-PATH. W ten sposób agresor wykonuje kod jako użytkownik cgi-server.
2. CVE-2026-118527 (CVSS: 4.3) – Wgranie pliku na dysk
Błąd wynika z generowania przewidywalnych identyfikatorów. Pozwala on napastnikowi na zapisanie złośliwego pliku w znanej lokalizacji na dysku urządzenia.
3. CVE-2026-111357 (CVSS: 8.8) – Eskalacja uprawnień do roota
Gwóźdź programu. Proces systemowy dsinvoked nadmiernie ufa danym zapisanym w pamięci podręcznej DSCache. Dlatego manipulacja zadaniem konserwacyjnym pozwala uruchomić kod bezpośrednio jako superużytkownik (root).
Jak działa grupa UTA0576 i jakie są zagrożenia?
Analitycy z Volexity wykryli ten łańcuch ataków już na początku października 2026 roku. Co istotne, ofiarami padły urządzenia, które miały wgrane wszystkie dostępne wtedy łatki (wersja 22.8R2.4). Kampania grupy UTA0576 wyróżnia się doskonałym zacieraniem śladów.
Atak bezplikowy (In-memory)
Hakerzy nie wgrywają klasycznych webshelli na dysk. Zamiast tego, przy każdym poleceniu uruchamiają cały exploit od nowa. Modyfikują biblioteki wyłącznie w pamięci RAM, a następnie natychmiast przywracają oryginalną konfigurację.
Oślepienie skanerów
Ponieważ system plików po wykonaniu komendy pozostaje nienaruszony, oficjalne narzędzie Integrity Checker Tool (ICT) nie zgłasza żadnych alarmów i raportuje, że wszystko jest czyste.
Kradzież haseł z Active Directory
Po przejęciu VPN-a, przestępcy przejmują konto serwisowe podpięte do usługi katalogowej. Następnie wykradają hasła lokalnych administratorów z systemu LAPS oraz klucze odzyskiwania BitLocker.
Podsłuchiwanie ruchu VPN
Włamywacze przechwytują również hasła użytkowników logujących się do VPN-a. Później wykorzystują je do ataków password spraying wewnątrz sieci firmowej.
Co robić? Rekomendacje dla administratorów i SOC
Agencja CISA dała amerykańskim urzędom zaledwie 3 dni na wgranie poprawek (do 2 listopada 2026 r.). To najlepiej obrazuje skalę ryzyka. Poniżej znajdziesz listę działań, które musisz wdrożyć od ręki.
1. Natychmiastowa aktualizacja oprogramowania
Producent wydał już poprawki, które trwale blokują opisane podatności w Ivanti Connect Secure. Zaktualizuj urządzenia ICS do bezpiecznych wersji:
- 22.8R2.6 (lub nowszej – dla gałęzi 22.8R2.x),
- 25.1.1.3 (lub nowszej – dla gałęzi 25.1.1.x),
- 25.1.3.0 / 25.1.3.1 (lub nowszych).
2. Threat Hunting i analiza logów (IoC)
Nie ufaj wynikom wbudowanego skanera ICT. Zamiast tego przejrzyj logi na systemach WAF, reverse proxy oraz SIEM. Szukaj następujących wskaźników włamania:
- Zapytań HTTP, które zawierają niestandardowy nagłówek
X-DSCGI-PATH. - Podejrzanych odwołań do adresu
/dana-na/auth/url_default/welcome.cgi. - Ruchu sieciowego z adresu IP
108.165.147.64(adres wykorzystywany w pierwszej fali ataków). - Nietypowych zapytań LDAP wychodzących z adresu IP bramki Ivanti. Zwróć szczególną uwagę na odpytywanie o atrybuty
ms-Mcs-AdmPwd(LAPS) orazmsFVE-RecoveryInformation(BitLocker).
3. Działania w przypadku wykrycia włamania
Jeżeli znajdziesz w logach ślady ataku, samo wgranie łatki nie wystarczy. Hakerzy mogli już wcześniej wyeksportować bazę konfiguracji oraz klucze prywatne. W takiej sytuacji:
- Wykonaj Factory Reset urządzenia przed instalacją nowej wersji systemu.
- Zmień hasła dla kont serwisowych (zwłaszcza konta łączącego się z Active Directory).
- Wymuś natychmiastową rotację haseł w systemie LAPS.
- Unieważnij aktywne sesje użytkowników oraz certyfikaty znajdujące się na bramce VPN.
Dodaj komentarz