VPN Ivanti Connect Secure atakowany: dwie nowe luki załatane, zaktualizuj nawet po październikowej poprawce

Firma łączy się z siecią przez VPN Ivanti Connect Secure? To pilne. Ivanti załatało dwie kolejne luki, które przestępcy już wykorzystują razem z błędem ujawnionym w połowie października. Kto wtedy zainstalował poprawkę, i tak musi aktualizować jeszcze raz.

Co się stało

Ivanti Connect Secure to brama VPN, przez którą pracownicy wielu firm, urzędów i uczelni logują się zdalnie do sieci wewnętrznej. 13 października producent opisał lukę CVE-2026-104935, która pozwala obejść logowanie i zdalnie wykonywać polecenia na urządzeniu. Firma Volexity ustaliła wtedy, że nieznana wcześniej grupa, oznaczona jako UTA0576, łączy ją z dwoma innymi błędami. Jednego z nich, pozwalającego przejąć uprawnienia administratora systemu (root), nie dało się jeszcze załatać.

Pod koniec października Ivanti uzupełniło swój komunikat o te dwie brakujące poprawki. CVE-2026-111357 (ocena 8,8 w skali CVSS) pozwala podnieść uprawnienia do pełnej kontroli nad urządzeniem, a CVE-2026-118527 (4,3) umożliwia wgranie pliku o wybranej treści w z góry znane miejsce na dysku. Same w sobie wymagają zalogowania, ale w połączeniu z obejściem uwierzytelniania dają atakującemu pełne przejęcie bramy bez żadnego hasła. 30 października amerykańska agencja CISA dopisała obie luki do katalogu podatności aktywnie wykorzystywanych w atakach.

Dlaczego to groźne

Według Volexity napastnicy nie instalują hałaśliwego złośliwego oprogramowania. Zamiast tego po cichu zbierają dane logowania, informacje z usługi Active Directory, rozpoznają sieć i szukają haseł administratorów oraz kluczy odzyskiwania BitLockera, czyli tego, co pozwala zajść dalej niż sam VPN. Ivanti mówi o ograniczonej liczbie zaatakowanych klientów, ale brytyjski NHS ocenia dalsze ataki jako wysoce prawdopodobne. CISA ostrzega też, że narzędzie Ivanti do sprawdzania integralności może nie wykryć śladów, bo polecenia działają tylko w pamięci urządzenia.

Co zrobić teraz

• Sprawdź wersję Ivanti Connect Secure. Podatne są wydania 25.1.1.2 i starsze oraz 22.8R2.5 i starsze, czyli także te, które w październiku miały łatać pierwszą lukę.
• Zaktualizuj do wersji 25.1.1.3 lub 22.8R2.6 albo nowszej. Jeśli korzystasz z gałęzi 25.1.3, zainstaluj najnowsze wydanie wskazane w komunikacie Ivanti.
• Zaplanuj migrację: linia 22.8 traci wsparcie 31 stycznia 2027 roku, więc warto od razu przygotować przejście na 25.x.
• Nie zakładaj, że jest czysto. Jeśli brama była wystawiona do internetu z podatną wersją, przejrzyj logi i ruch sieciowy pod kątem nietypowych logowań i połączeń.
• Przy podejrzeniu włamania postępuj według procedury Ivanti: kopia konfiguracji, przywrócenie ustawień fabrycznych (albo odbudowa maszyny wirtualnej), aktualizacja, odtworzenie konfiguracji, a potem zmiana haseł do wszystkich kont, także domenowych, oraz wymiana certyfikatów i kluczy API.

Co to oznacza dla polskich firm

Bramy VPN to od lat jeden z ulubionych celów atakujących, bo stoją na styku z internetem i dają dostęp do całej sieci. Z Ivanti korzystają także polskie przedsiębiorstwa, szpitale i instytucje, często przez zewnętrznych integratorów. Jeśli Twoją infrastrukturą zarządza firma IT, zapytaj ją dziś wprost, jaką wersję macie i czy po 30 października była aktualizacja. Podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa powinny pamiętać o obowiązku zgłoszenia poważnego incydentu, a każdy może zgłosić włamanie do CERT Polska przez formularz na incydent.cert.pl.

Źródło: CISA – alert o lukach w Ivanti Connect Secure (aktualizacja 30.10.2026), SecurityWeek, The Hacker News, CCB Belgia

Artykuł zredagowany przy pomocy AI.