Vulnerabilitate Ivanti Connect Secure: atacatorii pot obține acces root chiar și pe VPN-uri complet actualizate
O nouă vulnerabilitate zero-day din Ivanti Connect Secure (ICS) pune din nou în centrul atenției una dintre cele mai sensibile piese din infrastructura IT: gateway-ul VPN expus direct la internet. Problema, identificată drept CVE-2026-104935, a fost exploatată activ înainte de publicarea patch-urilor și permite unui atacator neautentificat să execute comenzi de la distanță. Mai grav, atacul a fost observat pe un echipament care era complet actualizat la momentul compromiterii. Pentru organizațiile din România care folosesc ICS pentru acces remote la rețea, riscul nu este doar indisponibilitatea VPN-ului, ci accesul la credențiale de domeniu, date Active Directory și informații care pot deschide drumul spre restul infrastructurii interne.
Ghid ServerSpan relevant: CUPS RCE pe VPS Linux: CVE-2026-34980 se înlănțuie până la root — verifică dacă ești expus chiar acum.
Ce s-a întâmplat și de ce este diferit acest incident
Cercetătorii Volexity au descoperit, la începutul lunii octombrie 2026, o campanie de exploatare activă atribuită unui actor necunoscut, urmărit sub numele UTA0576. Atacatorii au combinat trei vulnerabilități zero-day într-un lanț care le-a permis să ajungă la execuție de cod cu privilegii root pe un dispozitiv Ivanti Connect Secure accesibil din internet. (volexity.com)
Două componente ale lanțului — ocolirea autentificării și execuția de cod la distanță — sunt urmărite sub CVE-2026-104935. A treia problemă este o escaladare locală de privilegii, necesară pentru trecerea de la accesul inițial la control root asupra echipamentului.
Pentru mai multe detalii despre această parte a subiectului, vezi CVE-2026-12184: Ghid de Patch pentru DoS în PHP-FPM (8.3.32 / 8.4.21 / 8.5.6).
Detaliul care contează cel mai mult pentru echipele IT este că dispozitivul investigat rula versiunea 22.8R2.4, Build 19097, cea mai nouă versiune disponibilă la acel moment. Cu alte cuvinte, nu vorbim despre o organizație care a ignorat luni întregi actualizările. Aceasta este exact natura unei vulnerabilități zero-day: patch management-ul corect rămâne esențial, dar nu oferă protecție totală înainte ca furnizorul să cunoască și să remedieze problema.
Ivanti a publicat pe 13 octombrie 2026 actualizări pentru bypass-ul de autentificare și pentru execuția de cod la distanță. În analiza Volexity, vulnerabilitatea de escaladare la root nu era încă remediată și urma să fie corectată într-o versiune viitoare. (volexity.com) Asta nu înseamnă că patch-ul actual este inutil; dimpotrivă, el întrerupe primele etape critice ale lanțului de atac observat.
De la un VPN compromis la credențiale, Active Directory și mișcare laterală
Un gateway VPN nu este doar o pagină de autentificare pentru angajați care lucrează de acasă. În multe organizații, este conectat direct la Active Directory, LDAP, DNS și alte servicii interne. De aceea, compromiterea sa poate avea consecințe disproporționat de mari.
În incidentul analizat, UTA0576 a extras credențiale stocate pe appliance, inclusiv credențiale de domeniu utilizate pentru integrarea LDAP. Atacatorii au colectat și exfiltrat metadate limitate din Active Directory, au făcut recunoaștere internă, au analizat configurația VPN-ului și au căutat în jurnale nume de utilizatori valide. (volexity.com)
Mai îngrijorător este tipul de date urmărite: parole LAPS pentru conturi de administrator local, chei de recuperare BitLocker și atribute Active Directory care pot conține parole sau informații utile pentru acces ulterior. În practică, o cheie BitLocker ori o parolă de administrator local nu reprezintă neapărat compromiterea completă a companiei, dar poate reduce drastic efortul necesar pentru a ajunge la servere, stații de lucru sau date confidențiale.
Cercetătorii au observat și tentative de password spraying — încercări puține, distribuite, asupra mai multor conturi — plus verificări de credențiale Kerberos și captură de trafic LDAP. Aceste activități sugerează pregătirea pentru mișcare laterală, nu un simplu atac oportunist asupra unui singur echipament. Volexity spune că operațiunea a fost întreruptă înainte ca obiectivul final al atacatorilor să devină clar. (volexity.com)
Pentru companiile românești, inclusiv cele de dimensiune medie, lecția este simplă: un VPN expus public trebuie tratat ca un activ critic, comparabil cu un controller de domeniu din perspectiva impactului potențial. Nu este doar „echipamentul pentru munca de acasă”.
Patch-ul este obligatoriu, dar nu este echivalent cu un verdict de „curat”
În securitate există o confuzie frecventă: aplicarea unui patch oprește exploatarea viitoare, însă nu repară automat compromiterea deja produsă. În cazul Ivanti, această distincție este deosebit de importantă deoarece atacatorii au folosit metode de anti-forensics: au încercat să șteargă urme din logurile de debug și din logurile Linux de audit, au eliminat fișiere temporare și au restaurat modificările făcute în memorie. (volexity.com)
Volexity nu a găsit un web shell sau un backdoor persistent clasic pe dispozitivul analizat. În schimb, actorul relansa lanțul de exploatare pentru fiecare comandă și trimitea rezultatele prin cereri HTTPS. Este o metodă mai puțin zgomotoasă decât instalarea unei uși din spate evidente și poate îngreuna investigația ulterioară.
Aici apare o limitare importantă: instrumentul Ivanti Integrity Checker verifică în principal modificările neașteptate de pe disc. În atacul documentat, componentele esențiale au fost modificate în memorie și apoi restaurate, astfel încât o verificare de integritate fără alerte nu dovedește că echipamentul nu a fost compromis. Volexity recomandă investigații de memorie și trafic de rețea atunci când există suspiciuni. (volexity.com)
Pentru multe organizații, o analiză forensică completă poate necesita un partener extern de incident response. Este o cheltuială incomodă, dar trebuie comparată cu costul real al unui atacator care a avut acces la parole de domeniu, liste de utilizatori și configurații de infrastructură.
Ce merită urmărit în România și ce nu trebuie exagerat
Nu fiecare firmă din România utilizează Ivanti Connect Secure. Dacă organizația nu are acest produs în inventar, știrea nu impune măsuri urgente asupra tuturor sistemelor. Nu este un motiv să se reseteze parolele la întâmplare sau să se oprească orice serviciu VPN fără evaluare tehnică.
În schimb, administratorii trebuie să confirme rapid dacă folosesc ICS direct, printr-un furnizor de servicii gestionate sau într-o companie din grup. Inventarul real contează: în organizațiile mai mari, echipamentele VPN pot fi administrate de o echipă centrală, de un integrator sau de o subsidiară, iar echipa locală poate să nu știe imediat versiunea instalată.
Versiunile menționate de Volexity ca necesitând upgrade sunt 25.1.1 și anterioare, 25.1.2 și 22.8R2.4. Actualizarea trebuie făcută spre cea mai nouă versiune recomandată de Ivanti pentru seria utilizată, nu pur și simplu spre „orice versiune mai nouă”. (volexity.com) Înainte de update, este recomandabil să existe backup de configurație validat și o fereastră de mentenanță, deoarece VPN-ul este adesea o componentă critică pentru angajați și parteneri.
Merită urmărite și semnele indirecte: conexiuni sau activitate laterală care pornesc de la appliance-ul VPN, volume anormale de cereri către pagina publică de autentificare, fișiere suspecte în directoare temporare, modificări neobișnuite ale jurnalelor și interogări LDAP atipice venite de la contul de serviciu al VPN-ului.
Afirmația că actorul ar fi folosit modele AI pentru dezvoltarea exploitului sau a scripturilor post-compromitere este doar o evaluare cu încredere medie a Volexity, nu o concluzie confirmată independent. (volexity.com) Este un detaliu interesant, dar nu trebuie să distragă atenția de la problema concretă: atacatorii au folosit un lanț eficient, fără autentificare, împotriva unei infrastructuri de acces remote.
Ce trebuie făcut acum:
- Confirmați dacă Ivanti Connect Secure există în infrastructură și identificați versiunile instalate.
- Aplicați urgent actualizările Ivanti publicate pentru CVE-2026-104935.
- Nu considerați sistemul „curat” doar fiindcă a fost actualizat după 13 octombrie 2026.
- Verificați logurile, traficul intern și activitatea Active Directory din perioada începând cu 3 octombrie 2026.
- Investigați prioritar orice semn de mișcare laterală pornită de la appliance-ul VPN.
- Pregătiți o analiză forensică de memorie și rețea dacă apar indicii de compromitere.
- Revizuiți credențialele de serviciu LDAP și segmentele interne accesibile din zona VPN.
În final, incidentul Ivanti este un bun reminder că securitatea accesului remote nu se rezumă la actualizări și autentificare multifactor. Patch-ul rapid rămâne prima măsură obligatorie, însă organizațiile trebuie să aibă și vizibilitate în trafic, copii de siguranță ale configurațiilor, monitorizare a identităților și un plan clar de răspuns la incident. Pentru un VPN compromis, întrebarea corectă nu este doar „am instalat update-ul?”, ci și „ce a putut vedea atacatorul înainte să îl instalăm?”.