Säkerhet · 17 oktober 2026
CISA uppmanar omedelbart åtgärd för Ivanti-sårbarhet utnyttjad som noll-dag
Amerikanska Cybersäkerhets- och infrastrukturmyndigheten CISA har uppmanat säkerhetsteams att omedelbart åtgärda en sårbarhet i Ivanti Connect Secure som utnyttjats som noll-dag sedan minst den första oktober. Sårbarheten, spårad som CVE-2026-104935, är en allvarlig autentiseringsbypass som gör att fjärraktörer utan behörighet kan köra godtyckliga kommandon på målade ICS-system i enkla attacker som inte kräver användarinteraktion.
Ivanti släppte versioner 22.8R2.5, 25.1.3.0, 25.1.3.1 och 25.1.1.2 på tisdagen för att åtgärda sårbarheten och varnade kunder att "agera omedelbart" på grund av "begränsad utnyttjande i verkligheten."
Cybersäkerhetsföretaget Volexity rapporterat att en okänd hotaktör den spårar som UTA0576 har kombinerat denna sårbarhet med två andra brister sedan minst den tredje oktober. Exploitkedjan sammanfogar en autentiseringsbypass, en fjärrkodkörning och en privilegieskalering för att uppnå obehörig rot-nivå-körning.
Hotintelsföretaget Defused har bekräftat Volexitys rapport och rapporterat att man först hittade bevis för att angripare utnyttjade CVE-2026-104935 i verkligheten den första oktober.
Internet-varningstjänsten Shadowserver spårar nu över 5 600 internetutsatta värdar med ICS-signaturer, men det finns ingen information om hur många som är skyddade mot pågående attacker eller hur många som är honeypots designade för att fånga skadlig aktivitet.
CISA har lagt till sårbarheten i sin lista över aktivt utnyttjade säkerhetsbrister och krävt att federala myndigheter ska säkra sina nätverk till fredag, enligt den juni-utfärdade direktiven.
Även om direktiven gäller endast civila federala myndigheter har CISA också utfärdat en separat rekommendation till alla säkerhetsteams att omedelbart uppdatera och kontrollera om de har blivit komprometterade.