Ivanti Connect Secure: útočníci zneužívajú reťazec chýb na prevzatie VPN brány

Čo sa stalo

Ivanti Connect Secure je VPN brána, cez ktorú sa zamestnanci zvonku pripájajú do firemnej siete. Bezpečnostná firma Volexity v prvom októbrovom týždni 2026 zistila, že neznáma skupina, ktorú označuje UTA0576, prenikla do takejto brány, hoci mala nainštalované všetky vtedy dostupné aktualizácie (verzia 22.8R2.4). Podľa Volexity útoky začali 3. októbra 2026.

Útočníci spojili tri chyby. Prvá, CVE-2026-104935, umožňuje obísť prihlásenie a spustiť vlastný kód. Ivanti ju opravil 13. októbra 2026. Ďalšie dve dostali čísla CVE-2026-118527 (nahranie súborov na predvídateľné miesto na disku) a CVE-2026-111357 (získanie najvyšších oprávnení root). Opravu pre ne Ivanti vydal 29. októbra 2026.

Americká agentúra CISA zaradila 30. októbra 2026 obe neskôr opravené chyby do katalógu aktívne zneužívaných zraniteľností. Európska databáza EUVD vedie CVE-2026-111357 ako zneužívanú od 30. októbra 2026. Či chyby využívajú aj ransomvérové skupiny, CISA zatiaľ neuvádza.

Prečo je to nebezpečné

Každá chyba dá útočníkovi len časť toho, čo potrebuje. Spolu však fungujú ako tri kľúče od jednej budovy. Prvý otvorí vchod bez hesla, druhý dovolí nechať vnútri vlastné „náradie“ a tretí odomkne miestnosť správcu. Výsledok podľa Volexity: útočník z internetu bez akéhokoľvek prihlásenia spúšťa na zariadení príkazy ako root, teda s úplnou kontrolou.

CVE-2026-111357 je chyba v tom, ako interná systémová služba dôveruje zdieľaným konfiguračným údajom. Kto už má na zariadení obmedzený prístup, môže si takto vynútiť spustenie vlastného kódu s najvyššími oprávneniami. Sama osebe má skóre CVSS 7,0 (verzia 3.1, hodnotenie pridelila organizácia MITRE), lebo vyžaduje miestny prístup a nízke oprávnenia. The Hacker News uvádza pre ňu skóre 8,8 a pre CVE-2026-118527 skóre 4,3. CVSS je stupnica od 0 do 10, ktorá opisuje závažnosť chyby, nie to, či sa reálne zneužíva.

VPN brána je mimoriadne citlivé miesto. Stojí na hranici siete, je dostupná z internetu a uchováva prihlasovacie údaje do domény. Volexity zistil, že útočníci z nej kradli doménové heslá používané pre LDAP, hľadali v Active Directory heslá lokálnych administrátorov (LAPS) a obnovovacie kľúče BitLocker a skúšali heslá ďalších účtov. Brána tak slúžila ako odrazový mostík ďalej do siete.

Katalóg CISA KEV obsahuje chyby, o ktorých zneužívaní má CISA dôkazy. Skóre EPSS odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch: pre CVE-2026-111357 je to iba 0,3 %. Nízke číslo tu neznamená bezpečie, zneužitie je už potvrdené.

Koho sa to týka

Týka sa to organizácií, ktoré používajú Ivanti Connect Secure, teda VPN bránu na vzdialený prístup zamestnancov, dodávateľov či pobočiek. Zraniteľné sú verzie 22.8R2.5 a staršie a 25.1.1.2 a staršie. Útok v praxi Volexity potvrdil na verzii 22.8R2.4 (Build 19097).

Pozor: oprava z 13. októbra 2026 nestačí. Riešila len CVE-2026-104935, nie celý reťazec. Ak ste bránu odvtedy neaktualizovali na 22.8R2.6 alebo 25.1.1.3, môže byť stále zraniteľná. Ivanti tiež uviedol, že časť problému odhalil sám a opravil ju už v júlovom vydaní 25.1.3.0. Pri tejto aj iných verziách sa riaďte bulletinom výrobcu.

Ak Ivanti Connect Secure nepoužívate, tieto chyby sa vás netýkajú. Volexity ani The Hacker News v súvislosti s týmto útokom iné produkty Ivanti nespomínajú.

Ako zistiť, či ste zasiahnutí

Verziu zistíte v administrátorskom webovom rozhraní Ivanti Connect Secure. Po prihlásení ju nájdete na prehľade stavu systému (System Status), kde je uvedené číslo vydania a build. Samotné pozretie verzie nič nemení.

22.8R2.5 alebo nižšia: zraniteľné, aktualizujte na 22.8R2.6
25.1.1.2 alebo nižšia: zraniteľné, aktualizujte na 25.1.1.3
22.8R2.6 alebo 25.1.1.3: chyby z tohto reťazca sú opravené
iná verzia, napríklad 25.1.3.0: stav overte v bulletine Ivanti

Overte aj to, či je brána dostupná z internetu. Pri VPN to tak takmer vždy je a práve takéto zariadenia útočníci napádali.

Ako to opraviť

Ivanti vydal 29. októbra 2026 opravu. Podľa The Hacker News nové vydanie rieši všetky chyby zneužité v tomto reťazci.

Vetva 22.8: aktualizujte na 22.8R2.6
Vetva 25.1: aktualizujte na 25.1.1.3

Odporúčaný postup:

Skontrolujte verziu a prečítajte si bulletin Ivanti k CVE-2026-104935, kde výrobca uvádza pokyny na aktualizáciu.
Ak máte podozrenie na útok (pozri nižšie), pred aktualizáciou sa poraďte s odborníkom. Útočníci pracovali hlavne v pamäti zariadenia a reštart môže zničiť stopy.
Nainštalujte opravenú verziu čo najskôr, ideálne v najbližšom servisnom okne.
Po aktualizácii zmeňte heslá účtov, ktoré brána používa na prihlasovanie do domény, napríklad servisného účtu pre LDAP.
Znova skontrolujte verziu a overte, že aktualizácia prebehla.

Volexity ani The Hacker News nespomínajú dočasné riešenie, ktoré by nahradilo aktualizáciu. CISA ukladá americkým federálnym úradom opraviť CVE-2026-111357 do 2. novembra 2026 a CVE-2026-118527 do 13. novembra 2026. Firmám to dobre ukazuje, ako veľmi to súri.

Čo ak už ste mohli byť napadnutí

Toto je najťažšia časť. Útočníci podľa Volexity mazali stopy z ladiaceho logu Ivanti a z auditného logu Linuxu, neinštalovali žiadny backdoor ani web shell a nástroj Ivanti Integrity Checker Tool ich zásah nezachytí, pretože zmeny robili len v pamäti. Čistý výsledok kontroly preto nič nedokazuje.

Na čo sa pozrieť:

pokusy o prihlásenie alebo pripojenie z IP adresy VPN brány na iné servery vo vnútornej sieti, Volexity ich uvádza ako príklad znaku napadnutia
nezvyčajné dopyty LDAP z brány na radiče domény, najmä na heslá LAPS a obnovovacie kľúče BitLocker
žiadosti o lístky Kerberos pre servisné účty (Kerberoasting) a vlny neúspešných prihlásení na mnohé účty
chýbajúce alebo prerušené záznamy v logoch /home/runtime/dlogs/debuglog a /var/log/audit/audit.log
neočakávané výpisy pamäte (core dumpy), ktoré pri útoku vznikali

Ak niečo z toho nájdete alebo bola brána od 3. októbra 2026 na zraniteľnej verzii dostupná z internetu, prizvite odborníkov na forenznú analýzu a kontaktujte podporu Ivanti. Volexity potreboval obrazy pamäte a disku, to bežný správca sám nezvládne. Zmeňte heslá doménových účtov, ktoré brána používala, a počítajte s tým, že heslá LAPS a kľúče BitLocker mohli uniknúť.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.