Bezpieczeństwo · 17 października 2026
Agencja CISA ostrzega przed natychmiastowym naprawieniem luki w Ivanti Connect Secure
Amerykańska Agencja Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) wezwała zespoły ds. bezpieczeństwa do natychmiastowego załatania luki w systemie Ivanti Connect Secure, która jest wykorzystywana w atakach typu zero-day od co najmniej 1 października.
Luka, oznaczona jako CVE-2026-104935, to podatność o wysokim stopniu zagrożenia, pozwalająca zdalnym sprawcom bez uprawnień na wykonanie dowolnych poleceń na celowych systemach ICS. Ataki te charakteryzują się niską złożonością i nie wymagają interakcji użytkownika.
Firma Ivanti wydała we wtorek wersje 22.8R2.5, 25.1.3.0, 25.1.3.1 oraz 25.1.1.2, aby naprawić tę wadę. Producent ostrzegł klientów, by „działali natychmiast”, wskazując na „ograniczone wykorzystanie w środowisku rzeczywistym”. Firma Volexity poinformowała, że nieznany sprawca, śledzony jako UTA0576, łączy tę lukę z dwoma innymi od co najmniej 3 października. Łańcuch ataku obejmuje obejście uwierzytelniania, zdalne wykonanie kodu oraz eskalację uprawnień, co prowadzi do nieautoryzowanego wykonania kodu z uprawnieniami administratora. Sprawca celuje w poświadczenia Active Directory, w tym hasła LAPS i klucze odzyskiwania BitLocker.
Firma Defused potwierdziła raport Volexity, wskazując, że pierwszy dowód na wykorzystanie tej luki w środowisku rzeczywistym pojawił się 1 października. Organizacja Shadowserver śledzi obecnie ponad 5600 hostów narażonych na Internet, które posiadają odciski palca systemu ICS. Brakuje jednak informacji o tym, ile z nich jest zabezpieczonych przed atakami, a ile stanowi pułapki na aktywność złośliwą.
Agencja CISA dodała CVE-2026-104935 do listy aktywnie wykorzystywanych luk i nakazała agencjom federalnym zabezpieczenie sieci do piątku, zgodnie z dyrektywą operacyjną 26-04 z czerwca. Ostrzeżenie dotyczy również wszystkich zespołów bezpieczeństwa, które powinny sprawdzić ślady kompromitacji. CISA zaznaczyła, że narzędzie do sprawdzania integralności Ivanti może nie wykryć śladów ataku, ponieważ polecenia sprawcy wykonują się w pamięci.
W ostatnich latach Ivanti naprawiła wiele innych luk typu zero-day w systemie Connect Secure, w tym obejście uwierzytelniania i wstrzykiwanie poleceń w 2024 roku oraz zdalne wykonanie kodu w 2025 roku. Agencja CISA dodała 36 podatności Ivanti do listy aktywnie wykorzystywanych od listopada 2021 roku, z czego 12 było wykorzystywanych w atakach ransomware. Raport Blue Report 2026 wskazuje, że po uzyskaniu ważnych poświadczeń blokowanych jest tylko 37% działań atakujących.