CISA upozorava na aktivnu zloupotrebu Ivanti Connect Secure greške

Američka Agencija za sajberbezbednost i bezbednost infrastrukture, CISA, pozvala je organizacije da odmah ažuriraju Ivanti Connect Secure (ICS) zbog aktivno zloupotrebljavane ranjivosti CVE-2026-104935. Propust ima CVSS ocenu 8,6, pogađa verzije 25.1.1.1 i starije, 25.1.2.2 i starije, kao i 22.8R2.4 i starije, a Previdian je do 14. oktobra 2026. na honeypot senzorima zabeležio 105 pokušaja eksploatacije.

Reč je o zaobilaženju autentifikacije koje udaljenom, neautentifikovanom napadaču može omogućiti proizvoljno izvršavanje komandi. CISA navodi da akteri pretnji propust koriste za krađu kredencijala i izvlačenje podataka. Ranjivost je dodata u katalog Known Exploited Vulnerabilities, a federalne civilne izvršne agencije u SAD moraju da primene ispravke do 16. oktobra 2026.

Šta pokazuju zabeleženi pokušaji napada

Previdian je pokušaje povezao sa 50 jedinstvenih IP adresa geolociranih u Singapuru i SAD. U zabeleženim aktivnostima napadači koriste zaglavlje X-DSCGI-PATH kako bi došli do internog CGI obrađivača i otpremili Perl skripte predstavljene kao ZIP datoteke. Skripte vraćaju jedinstvene oznake koje služe za proveru da li je udaljeno izvršavanje koda uspelo.

Previdian je naveo da uhvaćeni korisni tereti pretežno proveravaju mogućnost izvršavanja koda, bez vidljivog postavljanja malvera ili potpunog kompromitovanja uređaja. To ipak ne umanjuje hitnost reakcije, jer je Volexity eksploataciju CVE-2026-104935 prvi put uočio 3. oktobra 2026. kod do tada nedokumentovanog aktera UTA0576.

Posledice nakon uspešne eksploatacije

Volexity navodi da je UTA0576 kombinovao propust sa ranjivošću za eskalaciju privilegija radi neautentifikovanog izvršavanja koda sa root privilegijama. Aktivnosti nakon upada obuhvatile su izdvajanje kredencijala sa ICS VPN uređaja, iznošenje ograničenih metapodataka iz Active Directory-ja, postavljanje Kerberos alata za Kerberoast napade i testiranje kredencijala, kao i izviđanje hostova i LDAP presretanje paketa.

Istraživači su takođe pronašli Python LDAP alat namenjen potrazi za administratorskim lozinkama i BitLocker ključevima za oporavak. Zabeleženi korisni tereti pokazuju selektivne izmene logova, uklanjanje privremenih artefakata izvršavanja i vraćanje promenjenog stanja sistema, što može otežati utvrđivanje obima incidenta.

Koraci za organizacije koje koriste ICS

CISA preporučuje pregled Ivanti vodiča za nadogradnju i kompatibilnost pri zakrpljivanju. Verzija 22.8 dostiže kraj životnog ciklusa 31. januara 2027, pa je za okruženja na toj grani potrebno uključiti migraciju u plan sanacije.

• Napraviti rezervnu kopiju konfiguracije uređaja.
• Izvršiti vraćanje uređaja na fabrička podešavanja i nadograditi ga na najnoviju verziju.
• Za cloud i virtuelne sisteme ponovo izgraditi virtuelnu instancu i primeniti najnoviju verziju.
• Vratiti konfiguraciju iz prethodno napravljene kopije.
• Promeniti lozinke svih naloga, uključujući domenske, administratorske i lokalne naloge.
• Opozvati i ponovo izdati sačuvane sertifikate, kao i resetovati API ključeve i kredencijale servera za licence.

Za procenu moguće kompromitacije CISA ističe potrebu za mrežnom i memorijskom forenzikom. Za poslovanje to znači da ažuriranje ICS-a treba spojiti sa proverom tragova upada i rotacijom poverljivih podataka, jer sama instalacija zakrpe ne uklanja posledice već ostvarenog pristupa.