Týká se vás to?
- Koho se to týká: každého, kdo má jako VPN nebo bránu pro vzdálený přístup Ivanti Connect Secure.
- Netýká se vás, pokud: vaše VPN není Ivanti Connect Secure.
Co udělat
- Ještě dnes nainstalujte opravené vydání pro svou větev podle bezpečnostního oznámení Ivanti. Vydání 22.8R2.5 podle záznamu CVE opravilo jen obejití autentizace; zbylé dvě chyby podle LavX opravuje 22.8R2.6. U novější větve si čísla odporují: LavX uvádí 25.1.1.3, záznam CVE vede vyšší verze 25.1.3.0 a 25.1.3.1 jako verze, kterých se obejití autentizace netýká. Eskalaci oprávnění Ivanti opravila 29. října.
- Pro vaši verzi zatím oprava není? Pokyn CISA zní přestat produkt používat, dokud oprava nebude.
- Nespoléhejte na protokoly zařízení: podle Volexity útočníci mazali stopy z ladicích protokolů Ivanti a z auditních protokolů Linuxu. Sledujte velké množství požadavků na /dana-na/auth/url_default/welcome.cgi a v Active Directory hledejte od konce září jakýkoli servisní účet, který četl hesla LAPS nebo obnovovací klíče BitLockeru, a také známky Kerberoastingu. Podle nás začněte účtem, který používá VPN.
- Našli jste takové stopy nebo spojení z VPN na jiné stroje? Volexity doporučuje forenzní šetření; CISA vyžaduje od amerických úřadů forenzní triáž. Podle nás také změňte hesla AD účtu VPN a všech účtů, u nichž jste zaznamenali čtení těchto tajných údajů, a vyměňte hesla LAPS i obnovovací klíče BitLockeru.
- Co nedělat: brát americké lhůty, 2. a 13. listopadu, jako čas navíc; Volexity útoky odhalila začátkem října.
Co víme – a co ne
- Řetězec podle CISA a záznamů CVE: CVE-2026-104935, obejití autentizace s hodnocením 8,6, které vzdálenému útočníkovi umožní spouštět příkazy bez přihlášení; CVE-2026-118527, která přihlášenému uživateli umožní nahrát soubory na známé místo; a CVE-2026-111357, která lokálnímu uživateli umožní povýšit svá oprávnění na root.
- CVE-2026-111357 hodnotí The Hacker News (a po něm LavX) na 8,8, záznam CVE od Ivanti na 7,0. CVE-2026-118527 k 31. říjnu neměla zveřejněný záznam CVE; podrobnosti o ní pocházejí z katalogu CISA.
- Volexity skupinu UTA0576 zachytila na zařízení, které bylo v té době plně záplatované (22.8R2.4).
- Motiv: Volexity se s nízkou jistotou přiklání ke kriminálnímu; LavX uvádí špionáž.
Proč na tom záleží
VPN bráně důvěřuje všechno, co stojí za ní. Záplata díru zavře; neukáže ale, jestli ji už někdo využil, a nezmění ukradené heslo. Záplatujte ještě dnes a pak se podívejte tam, kam tihle útočníci šli: do adresářové služby.