Ivanti Connect Secure: útočníci zneužívají řetězec chyb k převzetí VPN brány

Co se stalo

Ivanti Connect Secure je VPN brána, přes kterou se zaměstnanci zvenčí připojují do firemní sítě. Bezpečnostní firma Volexity v prvním říjnovém týdnu 2026 zjistila, že neznámá skupina, kterou označuje UTA0576, pronikla do takové brány, přestože měla nainstalované všechny tehdy dostupné aktualizace (verze 22.8R2.4). Podle Volexity útoky začaly 3. října 2026.

Útočníci spojili tři chyby. První, CVE-2026-104935, umožňuje obejít přihlášení a spustit vlastní kód. Ivanti ji opravil 13. října 2026. Další dvě dostaly čísla CVE-2026-118527 (nahrání souborů na předvídatelné místo na disku) a CVE-2026-111357 (získání nejvyšších oprávnění root). Opravu pro ně Ivanti vydal 29. října 2026.

Americká agentura CISA zařadila 30. října 2026 obě později opravené chyby do katalogu aktivně zneužívaných zranitelností. Evropská databáze EUVD vede CVE-2026-111357 jako zneužívanou od 30. října 2026. Zda chyby využívají i ransomwarové skupiny, CISA zatím neuvádí.

Proč je to nebezpečné

Každá chyba dá útočníkovi jen část toho, co potřebuje. Dohromady ale fungují jako tři klíče od jedné budovy. První otevře vchod bez hesla, druhý dovolí nechat uvnitř vlastní „nářadí“ a třetí odemkne místnost správce. Výsledek podle Volexity: útočník z internetu bez jakéhokoli přihlášení spouští na zařízení příkazy jako root, tedy s úplnou kontrolou.

CVE-2026-111357 je chyba v tom, jak interní systémová služba důvěřuje sdíleným konfiguračním údajům. Kdo už má na zařízení omezený přístup, může si tak vynutit spuštění vlastního kódu s nejvyššími oprávněními. Sama o sobě má skóre CVSS 7,0 (verze 3.1, hodnocení přidělila organizace MITRE), protože vyžaduje místní přístup a nízká oprávnění. The Hacker News pro ni uvádí skóre 8,8 a pro CVE-2026-118527 skóre 4,3. CVSS je stupnice od 0 do 10, která popisuje závažnost chyby, ne to, zda se reálně zneužívá.

VPN brána je mimořádně citlivé místo. Stojí na hranici sítě, je dostupná z internetu a uchovává přihlašovací údaje do domény. Volexity zjistil, že útočníci z ní kradli doménová hesla používaná pro LDAP, hledali v Active Directory hesla lokálních administrátorů (LAPS) a obnovovací klíče BitLocker a zkoušeli hesla dalších účtů. Brána tak sloužila jako odrazový můstek dál do sítě.

Katalog CISA KEV obsahuje chyby, o jejichž zneužívání má CISA důkazy. Skóre EPSS odhaduje pravděpodobnost zneužití v příštích 30 dnech: pro CVE-2026-111357 je to jen 0,3 %. Nízké číslo tu neznamená bezpečí, zneužití je už potvrzené.

Koho se to týká

Týká se to organizací, které používají Ivanti Connect Secure, tedy VPN bránu pro vzdálený přístup zaměstnanců, dodavatelů či poboček. Zranitelné jsou verze 22.8R2.5 a starší a 25.1.1.2 a starší. Útok v praxi Volexity potvrdil na verzi 22.8R2.4 (Build 19097).

Pozor: oprava z 13. října 2026 nestačí. Řešila jen CVE-2026-104935, ne celý řetězec. Pokud jste bránu od té doby neaktualizovali na 22.8R2.6 nebo 25.1.1.3, může být stále zranitelná. Ivanti také uvedl, že část problému odhalil sám a opravil ji už v červencovém vydání 25.1.3.0. U této i jiných verzí se řiďte bulletinem výrobce.

Pokud Ivanti Connect Secure nepoužíváte, tyto chyby se vás netýkají. Volexity ani The Hacker News v souvislosti s tímto útokem jiné produkty Ivanti nezmiňují.

Jak zjistit, zda jste zasaženi

Verzi zjistíte v administrátorském webovém rozhraní Ivanti Connect Secure. Po přihlášení ji najdete na přehledu stavu systému (System Status), kde je uvedeno číslo vydání a build. Samotné zobrazení verze nic nemění.

22.8R2.5 nebo nižší: zranitelné, aktualizujte na 22.8R2.6
25.1.1.2 nebo nižší: zranitelné, aktualizujte na 25.1.1.3
22.8R2.6 nebo 25.1.1.3: chyby z tohoto řetězce jsou opravené
jiná verze, například 25.1.3.0: stav ověřte v bulletinu Ivanti

Ověřte také, zda je brána dostupná z internetu. U VPN tomu tak téměř vždy je a právě taková zařízení útočníci napadali.

Jak to opravit

Ivanti vydal 29. října 2026 opravu. Podle The Hacker News nové vydání řeší všechny chyby zneužité v tomto řetězci.

Větev 22.8: aktualizujte na 22.8R2.6
Větev 25.1: aktualizujte na 25.1.1.3

Doporučený postup:

Zkontrolujte verzi a přečtěte si bulletin Ivanti k CVE-2026-104935, kde výrobce uvádí pokyny k aktualizaci.
Pokud máte podezření na útok (viz níže), před aktualizací se poraďte s odborníkem. Útočníci pracovali hlavně v paměti zařízení a restart může zničit stopy.
Nainstalujte opravenou verzi co nejdříve, ideálně v nejbližším servisním okně.
Po aktualizaci změňte hesla účtů, které brána používá k přihlašování do domény, například servisního účtu pro LDAP.
Znovu zkontrolujte verzi a ověřte, že aktualizace proběhla.

Volexity ani The Hacker News nezmiňují dočasné řešení, které by nahradilo aktualizaci. CISA ukládá americkým federálním úřadům opravit CVE-2026-111357 do 2. listopadu 2026 a CVE-2026-118527 do 13. listopadu 2026. Pro firmy je to dobré vodítko, jak moc to spěchá.

Co když už jste mohli být napadeni

Tohle je nejtěžší část. Útočníci podle Volexity mazali stopy z ladicího logu Ivanti a z auditního logu Linuxu, neinstalovali žádný backdoor ani web shell a nástroj Ivanti Integrity Checker Tool jejich zásah nezachytí, protože změny dělali jen v paměti. Čistý výsledek kontroly proto nic nedokazuje.

Na co se podívat:

pokusy o přihlášení nebo připojení z IP adresy VPN brány na jiné servery ve vnitřní síti, Volexity je uvádí jako příklad známky napadení
neobvyklé dotazy LDAP z brány na řadiče domény, hlavně na hesla LAPS a obnovovací klíče BitLocker
žádosti o lístky Kerberos pro servisní účty (Kerberoasting) a vlny neúspěšných přihlášení na mnoho účtů
chybějící nebo přerušené záznamy v lozích /home/runtime/dlogs/debuglog a /var/log/audit/audit.log
neočekávané výpisy paměti (core dumpy), které při útoku vznikaly

Pokud něco z toho najdete nebo byla brána od 3. října 2026 na zranitelné verzi dostupná z internetu, přizvěte odborníky na forenzní analýzu a kontaktujte podporu Ivanti. Volexity potřeboval obrazy paměti a disku, to běžný správce sám nezvládne. Změňte hesla doménových účtů, které brána používala, a počítejte s tím, že hesla LAPS a klíče BitLocker mohly uniknout.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.