Zinxhiri zero-day i Ivanti Connect Secure jep root access
Zero-day të Ivanti Connect Secure janë përdorur në një zinxhir sulmi që i lejoi një sulmuesi të paautentikuar të ekzekutonte komanda si root, niveli më i lartë i kontrollit në VPN appliance, sipas firmës së sigurisë Volexity. Ivanti tha më 13 tetor se ishte në dijeni për shfrytëzim të kufizuar në mjedise reale dhe u tha klientëve në versionet e prekura të vepronin menjëherë. Për dy nga flaws ka rregullime të disponueshme, ndërsa Volexity tha se një rregullim për çështjen e tretë pritet ende në një version të ardhshëm gjatë javëve në vijim.
Volexity tha se ia raportoi flaws Ivanti-t pasi hetoi një appliance të një klienti. Ai sistem ishte plotësisht i përditësuar në kohën e sulmit dhe po ekzekutonte Connect Secure version 22.8R2.4. Aktiviteti filloi më 3 tetor dhe gjurmohet nga Volexity si UTA0576. Ivanti Connect Secure është një VPN appliance, që do të thotë se ofron akses në distancë në rrjetin e një organizate, ndaj komprometimi mund të ketë rëndësi shumë përtej vetë pajisjes.
Dy flaws të para janë grupuar nën CVE-2026-104935. Ivanti i përshkruan ato si një authentication bypass dhe një problem remote code execution. Me fjalë të thjeshta, authentication bypass i lejon një sulmuesi të kalojë kërkesën normale të hyrjes, ndërsa remote code execution i lejon ta bëjë appliance të ekzekutojë komanda. Volexity tha se këto dy flaws së bashku lejojnë që kodi të ekzekutohet si përdoruesi cgi-server i appliance. Një flaw e tretë më pas e ngre atë akses në root, duke i dhënë sulmuesit nivelin më të fuqishëm të kontrollit në appliance.
Regjistrimi CVE i paraqitur nga Ivanti thotë se Connect Secure para versionit 25.1.3.0 është i prekur. Ai liston versionin 22.7R2.14 ose më të hershëm si të paprekur, dhe gjithashtu liston versionet 22.8R2.5, 25.1.3.0 dhe 25.1.3.1 si të paprekura. Shënimet e versionit për 25.1.3.0 mbajnë datën korrik 2026, kështu që klientët që tashmë janë në atë version janë jashtë intervalit të prekur të përshkruar në regjistrimin CVE. Ivanti e vlerëson CVE-2026-104935 me 8.6 nga 10 në shkallën e ashpërsisë CVSS, që është një sistem pikëzimi i përdorur për të krahasuar ashpërsinë e vulnerabilities.
Agjencia e Sigurisë Kibernetike dhe Sigurisë së Infrastrukturës e SHBA-së, në hyrjen e saj në regjistrimin CVE, e shënon shfrytëzimin si aktiv dhe ndikimin teknik si total. Kjo përputhet me rrezikun kryesor të përshkruar nga Volexity: një sulmues nuk kishte nevojë të hynte para se të lidhte flaws në zinxhir, dhe zinxhiri përfundoi me ekzekutim komandash në nivel root. Raporti i Volexity nuk thotë se çfarë rreziku mbart privilege escalation ende e parregulluar në një appliance ku dy flaws e para tashmë janë rregulluar.
Ivanti i këshillon klientët të përmirësojnë versionin dhe të ekzekutojnë rregullisht Integrity Checker Tool. Megjithatë, Volexity tha se tool nuk e zbuloi këtë zinxhir specifik sepse exploit ndryshoi kodin e bibliotekës vetëm në memory dhe riktheu të dhënat e konfigurimit që ndryshoi. Volexity tha gjithashtu se sulmuesi ndërmori hapa të synuar për të shmangur zbulimin nga tool. Si rezultat, Volexity tha se konfirmimi i komprometimit kërkon hetim forensic, përfshirë network dhe memory forensics.
Shenjat që raportoi Volexity vijnë nga incidenti i vetëm që hetoi. Ato përfshijnë numra jashtëzakonisht të mëdhenj kërkesash drejt URL path /dana-na/auth/url_default/welcome.cgi, dhe ato kërkesa përmbanin HTTP header X-DSCGI-PATH me një vlerë që nuk përputhej me URL path. Volexity përmendi gjithashtu directory /data/.icscap/ dhe adresën IP 108.165.147[.]64 si indicators nga ai incident. Këto detaje duhet të trajtohen si incident indicators, jo si provë se sulme të tjera do të dukeshin identike.
Në rastin e hetuar, Volexity tha se sulmuesi vodhi kredenciale të ruajtura, përfshirë LDAP domain credentials. LDAP, ose Lightweight Directory Access Protocol, përdoret zakonisht për të kërkuar përdorues dhe leje në directory të një organizate. Volexity tha gjithashtu se sulmuesi kërkoi në Active Directory për passwords dhe kreu sulme password-spraying kundër llogarive. Password spraying është kur një sulmues provon passwords të zakonshëm në shumë llogari, në vend që të sulmojë vazhdimisht vetëm një llogari. Volexity tha se nuk u la pas asnjë backdoor ose web shell, dhe sulmuesi e ribëri të gjithë exploit chain për çdo komandë.
Për pronarët e faqeve të internetit dhe ekipet IT, shqetësimi praktik është se një VPN appliance shpesh ndodhet në një pikë hyrjeje të besuar drejt sistemeve të brendshme. Nëse komprometohet, sulmuesi mund të jetë në gjendje të arrijë credentials dhe directory services që mbështesin faqet e internetit, hosting control panels, aplikacionet back-office dhe cloud administration. Raportet nga Ivanti dhe Volexity nuk përmendin një workaround të përkohshëm për klientët që nuk mund të përmirësojnë ende versionin. Ato gjithashtu nuk deklarojnë nëse përmirësimi heq aksesin që një sulmues mund të ketë fituar tashmë.
Volexity vlerësoi me besim të ulët se motivi i UTA0576 është kriminal dhe jo spiunazh. As Ivanti dhe as Volexity nuk thanë sa klientë u sulmuan. Kjo e lë regjistrin publik me prova të qarta të shfrytëzimit të kufizuar dhe një incident të dokumentuar, por pa një numër të konfirmuar viktimash.
I njëjti postim i Ivanti mbulon gjithashtu rregullime për Xtraction dhe Neurons Patch for Intune. Ivanti tha se nuk është në dijeni që ato flaws të jenë shfrytëzuar. Çështjet përfshijnë CVE-2026-106042 në Xtraction para versionit 2026.4 dhe CVE-2026-109412 në Neurons Patch for Intune, secila e vlerësuar nga Ivanti me 9.9 nga 10.
Organizatat që rishikojnë ekspozimin nga incidentet me VPN dhe infrastrukturë mund të përdorin AEU-I për IT, infrastrukturë dhe konsulencë me sigurinë në plan të parë, gjë që është drejtpërdrejt e rëndësishme kur sistemet e aksesit në distancë janë pjesë e mjedisit. Për momentin, klientët e prekur të Connect Secure duhet t’i japin përparësi udhëzimeve për përmirësim, të ruajnë provat nëse dyshohet komprometim dhe të shmangin supozimin se vetëm një kontroll i pastër integrity e përjashton këtë zinxhir sulmi.