Patch-et e Ivanti Connect Secure mbyllin exploit chain të shfrytëzuar për root access
Patch-et e Ivanti Connect Secure tani trajtojnë të tri cenueshmëritë në një exploit chain të përdorur për të fituar root access pa authentication. Root access i jep një sulmuesi nivelin më të lartë të kontrollit mbi një sistem. Sipas kërkimeve të Volexity, aktori i kërcënimit i padokumentuar më parë, i gjurmuar si UTA0576, i përdori së bashku këto dobësi për të nxjerrë kredenciale, për të inspektuar host-et e prekura dhe për të kërkuar informacione të ndjeshme administrative.
Agjencia e SHBA-së për Sigurinë Kibernetike dhe Sigurinë e Infrastrukturës (CISA) shtoi të premten dy prej cenueshmërive në katalogun e saj Known Exploited Vulnerabilities (KEV). Katalogu identifikon cenueshmëritë e sigurisë që, sipas CISA, janë shfrytëzuar në sulme reale. Regjistrimet janë CVE-2026-111357, me rezultat 8.8 në Common Vulnerability Scoring System (CVSS), dhe CVE-2026-118527, me rezultat 4.3. CVSS është një shkallë me dhjetë pikë që përdoret për të përshkruar ashpërsinë e një cenueshmërie.
CVE-2026-111357 shkaktohet nga mungesa e authentication për një funksion kritik. Ajo mund t'i lejojë një sulmuesi lokal të autentikuar, domethënë dikujt që tashmë ka qasje në sistemin e prekur, të kryejë privilege escalation dhe të marrë leje përtej atyre që i ishin dhënë fillimisht. CVE-2026-118527 lidhet me numra ose identifikues të parashikueshëm. Një sulmues i autentikuar në distancë mund ta shfrytëzojë atë për të vendosur përmbajtje nën kontrollin e sulmuesit në një vendndodhje të njohur në diskun e sistemit.
Volexity raportoi më herët, në tetor 2026, se UTA0576 i kombinoi këto dy dobësi me CVE-2026-104935, një authentication bypass me rezultat CVSS prej 8.6. Authentication bypass i lejon dikujt të shmangë kontrollin normal të identitetit. CISA e shtoi këtë cenueshmëri në katalogun KEV më 13 tetor 2026. Së bashku, tri cenueshmëritë mundësuan authentication bypass, remote code execution (RCE), që nënkupton ekzekutimin e udhëzimeve në një sistem tjetër, dhe privilege escalation. Exploit chain i plotë i dha sulmuesit code execution në nivel root pa authentication.
Volexity vëzhgoi aktivitet që ndryshonte nga sulmet në të cilat një pajisje e shfrytëzuar përdoret për të instaluar malware ose një web shell, një ndërfaqe e fshehur për kontrollin në distancë të një sistemi të komprometuar. Në vend të kësaj, UTA0576 nxori kredenciale dhe një sasi të kufizuar metadata nga Active Directory. Active Directory është sistemi që shumë organizata përdorin për të menaxhuar llogaritë e punonjësve, kompjuterët dhe lejet e qasjes. Aktori kreu gjithashtu host reconnaissance dhe kërkoi fjalëkalime administratorësh dhe BitLocker recovery keys, të cilat mund të përdoren për të rifituar qasjen në disqet e enkriptuara.
Kur hollësitë e aktivitetit u bënë publike për herë të parë, Ivanti ishte ende duke zhvilluar korrigjime për cenueshmërinë lokale të privilege escalation në exploit chain. Kompania tha se një korrigjim për CVE-2026-104935 ishte zhvilluar tashmë dhe po kalonte nëpër quality assurance për versionet e mbështetura kur u identifikua problemi i privilege escalation. Ivanti vendosi të mos e vononte përditësimin e disponueshëm, sepse ai mbyllte atë që kompania e përshkroi si rrugën kryesore të përdorur në sulme.
Patch-et për CVE-2026-111357 dhe CVE-2026-118527 tani janë të disponueshme. Sistemet që përdorin versionin 25.1.1.2 ose një version më të hershëm në atë degë duhet të kalojnë në 25.1.1.3. Sistemet me 22.8R2.5 ose një version më të hershëm në atë degë duhet të përditësohen në 22.8R2.6. Ivanti tha gjithashtu se kishte identifikuar në mënyrë të pavarur një pjesë të cenueshmërisë përmes programit të vet të sigurisë së produkteve dhe e kishte korrigjuar atë në versionin e korrikut, 25.1.3.0. Kompania kishte punuar për ta sjellë atë korrigjim në versione të tjera të mbështetura kur ndodhi shfrytëzimi.
Ivanti deklaron se versioni më i fundit trajton çdo cenueshmëri të përdorur në exploit chain e vëzhguar. Agjencitë e Degës Ekzekutive Civile Federale të SHBA-së duhet ta zbatojnë korrigjimin për CVE-2026-111357 deri më 2 nëntor 2026 dhe korrigjimin për CVE-2026-118527 deri më 13 nëntor 2026. Organizatat e tjera nuk përfshihen në këto afate federale, por shtimet në KEV konfirmojnë se bëhet fjalë për një ekspozim që po shfrytëzohet aktivisht dhe jo për një dobësi teorike.
Bizneset që përdorin Ivanti Connect Secure duhet së pari të përcaktojnë se cili version është në përdorim, ta përditësojnë në versionin përkatës të korrigjuar dhe të hetojnë nëse sistemi ose llogaritë e lidhura shfaqin aktivitet të papritur. Meqë sulmuesi i vëzhguar nxori kredenciale dhe kërkoi fjalëkalime administratorësh, instalimi i patch-eve i mbyll cenueshmëritë e software-it, por nuk përcakton vetvetiu nëse kredencialet e ekspozuara më parë vazhdojnë të jenë të sigurta. Për organizatat që vlerësojnë këtë lloj rreziku të infrastrukturës, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë si përparësi.
Rreziku kryesor qëndron në mënyrën se si tri dobësi të ndryshme përforcojnë njëra-tjetrën. Authentication bypass fillestar heq nevojën për një hyrje të vlefshme, remote code execution lejon ekzekutimin e udhëzimeve të dhëna nga sulmuesi dhe privilege escalation i ngre ato udhëzime në nivel root. Prandaj është e rëndësishme të zbatohet një version që trajton exploit chain e plotë, në vend që secila prej tri cenueshmërive të trajtohet si një problem i izoluar.