Az Ivanti az érintett Connect Secure VPN-átjárók azonnali frissítésére szólította fel a szervezeteket, miután megerősítette egy újonnan nyilvánosságra hozott sérülékenység aktív kihasználását. A támadások a vállalati hálózatok távoli elérését biztosító rendszerek biztonságát veszélyeztetik.
Október 13-i biztonsági tájékoztatójában a vállalat azt közölte, hogy a nyilvánosságra hozatal idején korlátozott körű kihasználásról volt tudomása, és közvetlenül együttműködik az érintett szervezetekkel. Az ügyfeleknek a megfelelő javított kiadás telepítését és a berendezések integritásának rendszeres ellenőrzését javasolta. Forrás: Ivanti — October 2026 Security Update
A közlés két összefüggő feladatot jelent a védők számára: meg kell szüntetni a sérülékenységet, és meg kell állapítani, kihasználták-e azt a frissítés elérhetővé válása előtt. Az átjáró biztonságos szoftververzióra frissítése önmagában nem tisztázza, hogy korábban hozzáfértek-e hitelesítő adatokhoz vagy belső rendszerekhez.
Az érintett verziók sürgős beavatkozást igényelnek
A CVE-2026-104935 azonosítójú sérülékenység az alábbi Connect Secure-verziókat érinti az adott kiadási ágakon:
- 22.8R2.4 és korábbi kiadások;
- 25.1.2.2 és korábbi kiadások;
- 25.1.1.1 és korábbi kiadások.
A hiba magas súlyosságú hitelesítésmegkerülési problémaként szerepel a közlésben. Távolról, meglévő jogosultság és felhasználói közreműködés nélkül használható ki, és tetszőleges parancsok végrehajtását teheti lehetővé. Az Ivanti októberi összefoglalója 8,6 pontos CVSS-besorolást közöl. Forrás: Ivanti — October 2026 Patch Tuesday
A korábban Pulse Connect Secure néven ismert termék átjárót biztosít a szervezeti erőforrásokat elérő munkatársak és külső közreműködők számára. A hálózat peremén elfoglalt helyzete miatt egy sikeres behatolás következményei túlterjedhetnek egyetlen alkalmazás kompromittálódásán.
A rendszergazdáknak az Ivanti biztonsági közleménye alapján kell kiválasztaniuk a telepítésükhöz megfelelő javított kiadást. A verziószám segít az érintettség megállapításában, de a teljes reagáláshoz azt is tudni kell, hol működnek az eszközök, milyen rendszereket érhetnek el, és milyen fiókokat használnak. Forrás: az Ivanti termékspecifikus biztonsági közleménye
Három hibát összekapcsolva szereztek root hozzáférést
A Volexity vizsgálata egy korábban ismeretlen, UTA0576 néven követett támadói szereplőt azonosított, amely október 3-tól kezdve használt ki egy akkor teljesen frissített berendezést. A támadási lánc a hitelesítés megkerülését, kódvégrehajtást és jogosultságnövelést kapcsolt össze, így biztosított root szintű hozzáférést.
A hitelesítésmegkerülési és a kódvégrehajtási összetevőt közösen a CVE-2026-104935 azonosító alatt kezelik. Ezekhez október 13-án jelent meg javítás. A különálló jogosultságnövelési hiba javítása a Volexity aznapi közlése szerint még fejlesztés alatt állt. Forrás: a Volexity vizsgálata
Ez üzemeltetési szempontból lényeges különbség. A kezdeti bejutási útvonal lezárása megszakíthat egy támadási láncot akkor is, ha annak egy későbbi eleme még javításra vár.
A szervezeteknek ezért mielőbb telepíteniük kell az elérhető frissítést, és követniük kell a további gyártói kiadásokat. Ezzel párhuzamosan azt is értékelniük kell, hogy egy esetleges korábbi behatolás miatt szükség van-e további helyreállítási intézkedésekre.
A támadók nem telepítettek tartós hátsó kaput
A Volexity nem talált tartós hozzáférést biztosító hátsó kaput vagy web shellt. A támadó ehelyett újra és újra kihasználta a berendezést a parancsok végrehajtásához, az eredményeket pedig HTTPS-válaszokon keresztül kapta vissza.
A szereplő a memóriában végzett módosításokat, és eltávolította a naplókból a tevékenység nyomait. A kutatók szerint az alkalmazott módszer nem hagyott olyan tartós fájlmódosításokat, amelyeket az Integrity Checker Tool integritásellenőrző eszköz felismerhetett volna.
A vizsgálat memória-, lemez- és összeomlási memóriaképek elemzésére épült. A kutatók hitelesítőadat-lopást és felderítést is megfigyeltek. Egy kompromittált címtárszolgáltatási fiókon keresztül a támadó LAPS-jelszavakat és BitLocker-helyreállítási kulcsokat is keresett.
A Volexity alacsony bizonyossággal bűnözői motivációt valószínűsített. A műveletet még azelőtt megszakították, hogy a támadó végső célja egyértelművé vált volna. Forrás: Volexity — az UTA0576 tevékenységének elemzése
A címtárhoz kapcsolódó hitelesítő adatok növelik a kockázatot
Az adminisztratív titkok célba vétele az identitásbiztonságot is a reagálás részévé teszi. A kockázat nem merül ki abban, hogy a támadó be tud-e jelentkezni a VPN-be. Azt is meg kell vizsgálni, hogy a kompromittált átjáró fiókjai milyen adatokat olvashatnak, és milyen műveleteket hajthatnak végre a szervezeten belül.
A Microsoft Windows LAPS dokumentációja szerint a funkció kezeli és rendszeresen cseréli a helyi rendszergazdai jelszavakat. Ez csökkenti annak veszélyét, hogy egy több eszközön közösen használt jelszó megkönnyítse a támadó továbbjutását. Az Active Directoryban tárolt jelszavakat hozzáférés-szabályozás és opcionálisan titkosítás védi. Forrás: Microsoft — Windows LAPS áttekintés
E védelem miatt különösen nagy jelentősége van annak, ki fér hozzá a tárolt jelszavakhoz. Egy szervezet bevezetheti a rendszeres jelszócserét, miközben továbbra is szükségtelen kitettséget teremt, ha túl sok fiók kérheti le az adminisztratív hitelesítő adatokat.
A Microsoft külön is javasolja az Active Directoryban tárolt Windows LAPS-jelszavak titkosításának engedélyezését. Egy hálózati peremet érintő behatolás vizsgálatakor ezért az a gyakorlati kérdés, hogy a kompromittált identitás valójában mely titkos adatokhoz férhetett hozzá, nem pusztán az, hogy telepítettek-e jelszókezelési megoldást. Forrás: Microsoft — Windows LAPS architecture
Ez kockázatértékelési szempont, nem bizonyíték arra, hogy minden érintett Ivanti-telepítés ugyanazokat az információkat tette hozzáférhetővé. Egy adott kompromittálódás lehetséges kiterjedését a címtárjogosultságok, a fiókok hatásköre és a helyi beállítások határozzák meg.
A tiszta integritásellenőrzés csak egyetlen bizonyíték
Az Ivanti útmutatója a frissítés mellett az Integrity Checker Tool rendszeres használatát is javasolja. Az októberi biztonsági közlemény a hozzáférés-szabályozást, a hálózat megfigyelését, a naplók áttekintését és a berendezések integritásának folyamatos ellenőrzését is hangsúlyozza. Forrás: Ivanti biztonsági frissítés
Az incidenskezelők számára ezek az intézkedések különböző kérdésekre adnak választ. Az integritásellenőrzés bizonyos váratlan módosításokat ismerhet fel; a hálózati adatok szokatlan kapcsolatokat mutathatnak; az identitásnaplók pedig a fiókok megszokott céljától eltérő használatát tárhatják fel.
Egyetlen ellenőrzési eredmény sem tekinthető a teljes tevékenység átfogó leírásának. A most vizsgált támadás különösen jól mutatja, hogy a tiszta integritásellenőrzési eredmény nem zárja ki a korábbi behatolást.
Gyanús viselkedés esetén a bizonyítékok megőrzését össze kell hangolni a támadás megfékezésével. Az újraindítás vagy az eszköz újratelepítése befolyásolhatja, milyen adatok maradnak elérhetők az elemzéshez. Ugyanakkor egy feltételezhetően kompromittált berendezés hálózaton tartása meghosszabbíthatja a kitettséget. A helyes sorrend az üzemeltetési kockázattól és a vizsgálat körülményeitől függ.
Különösen értékesek a berendezéstől függetlenül megőrzött megfigyelési adatok, ha magának az eszköznek a megbízhatósága kérdésessé vált. A korábban külön rendszerbe továbbított naplók más képet adhatnak, mint a kizárólag az átjárón tárolt bejegyzések.
A korábbi kampányok is jelzik a hálózati perem kockázatait
Az incidens a Connect Secure korábbi kihasználási eseteit követi. Ezeket azonban nem szabad a mostani támadók azonosítására szolgáló bizonyítékként kezelni.
A Mandiant 2025 januárjában közzétett kutatása a CVE-2025-0282 kihasználását dokumentálta, amelyet 2024 decemberének közepétől figyeltek meg. A tevékenységet az UNC5221 néven követett, feltételezhetően Kínához köthető kémkedési szereplőhöz rendelte.
A kutatás olyan kártevőket is ismertetett, amelyek képesek voltak megzavarni a frissítést, többek között egy meggyőzőnek tűnő, de hamis frissítési folyamat megjelenítésével. A Mandiant a hozzáférés frissítéseken át történő fenntartására, az integritásellenőrzés adatainak manipulálására és a vizsgálati nyomok eltávolítására szolgáló módszereket is dokumentált.
A kutatók az átjáró LDAP-szolgáltatásfiókjával végzett címtárlekérdezéseket, egyes esetekben pedig SMB-n vagy RDP-n keresztüli belső továbbjutást is megfigyeltek. Forrás: Mandiant — Ivanti Connect Secure VPN Targeted in New Zero-Day Exploitation
Ezek a korábbi megállapítások megmagyarázzák, miért kell együtt kezelni a berendezés helyreállítását és a kapcsolódó identitások felülvizsgálatát. Nem bizonyítják azonban, hogy a 2026. októberi támadásokban ugyanaz a kártevő, hozzáférésfenntartási módszer vagy támadó vett részt.
A reagálásnak túl kell terjednie a frissítés telepítésén
A biztonsági csapatok elsődleges feladata az érintettség megállapítása, a gyártói javítások telepítése és annak eldöntése, hogy a rendelkezésre álló bizonyítékok indokolnak-e incidensvizsgálatot.
Az alábbi intézkedések általános védekezési ajánlások, amelyeket az Ivanti termékspecifikus helyreállítási utasításaival együtt kell alkalmazni:
- Vegyenek számba minden telepítést. A másodlagos átjárók, a katasztrófa-helyreállítási környezetek és a szolgáltatók által üzemeltetett berendezések is kerüljenek be a felmérésbe.
- Ellenőrizzék a javítás eredményét. Rögzítsék a telepített kiadást, és igazolják, hogy minden érintett eszközön sikeresen befejeződött a szükséges frissítés.
- Vizsgálják felül a kapcsolódó identitásokat. Azonosítsák az átjáró számára elérhető szolgáltatásfiókokat és titkos adatokat, értékeljék a jogosultságokat, és feltételezett kitettség esetén hangolják össze a hitelesítő adatok cseréjét.
- Ellenőrizzék a belső tevékenységet. Vessék össze az átjáró eseményeit a címtárhitelesítésekkel, a hálózati kapcsolatokkal és az emelt jogosultságú fiókok használatával.
- Őrizzék meg a hasznos bizonyítékokat. Vonjanak be incidenskezelő szakembereket, ha a gyanús tevékenység memória- vagy lemezelemzést tehet szükségessé.
- Kövessék a további javításokat. Jelöljenek ki felelőst a különálló jogosultságnövelési hiba javításának és az esetleg módosuló helyreállítási útmutatónak a követésére.
A vezetők számára a munka lezárását a kitettség csökkentését igazoló bizonyítékoknak és a korábbi hozzáférés megalapozott értékelésének kell jeleznie. A frissítés telepítéséről szóló jelentés a szoftverhiba kezelését mutatja meg; a kapcsolódó vizsgálatnak azt kell tisztáznia, hogy a szervezetet érinti-e szélesebb identitás- vagy hálózati kompromittálódás.
Eredeti cím: Ivanti Release Emergency Patch For Connect Secure Zero-Day
