Az amerikai CISA (Cybersecurity and Infrastructure Security Agency), valamint több kiberbiztonsági vállalat is figyelmeztetést adott ki az Ivanti Connect Secure VPN-megoldását érintő, aktívan kihasznált nulladik napi sérülékenységgel kapcsolatban. A CVE-2026-104935 azonosítójú, a CVSS 10-es skálán 8,6-os súlyosságú sérülékenység lehetővé teszi, hogy a támadók hitelesítés nélkül, távolról tetszőleges parancsokat hajtsanak végre az érintett rendszereken. A CISA ezért október 16-ig adott határidőt az amerikai szövetségi intézmények számára a szükséges biztonsági frissítések telepítésére.

A sérülékenység aktív kihasználását az Ivanti mellett több kiberbiztonsági vállalat is megerősítette. A Volexity kutatói október 5-én kezdtek vizsgálni egy gyanús tevékenységet , amelynek során megállapították, hogy a támadók már október 3-tól kompromittáltak egy teljesen naprakész Ivanti VPN-berendezést. A vizsgálat során három nulladik napi sérülékenységet azonosítottak, amelyek közül kettőhöz az Ivanti október 13-án biztonsági javítást adott ki, míg a harmadik hiba elhárításán jelenleg is dolgozik.

A Volexity incidenskezelői nem találtak olyan rosszindulatú programot, amely lehetővé tette volna a támadók számára, hogy a kompromittált VPN-eszközhöz a sérülékenységek ismételt kihasználása nélkül is hozzáférjenek. A támadók elsődleges célja a hitelesítő adatok megszerzése, az adatok jogosulatlan kinyerése, a naplóállományok manipulálása és a belső hálózat feltérképezése volt. A Volexity alacsony bizonyossággal úgy értékelte, hogy az elkövetők tevékenységét inkább kiberbűnözői, mintsem hírszerzési célok motiválhatták. Az Ivanti szerint korlátozott számú érintett ügyféllel működik együtt a támadások kivizsgálásában.

A CVE-2026-104935 már a hatodik olyan Ivanti-sérülékenység 2026-ban, amely felkerült a CISA aktívan kihasznált sérülékenységek (KEV) nyilvántartásába. A vállalat termékei korábban is rendszeresen célpontjai voltak állami támogatású támadócsoportoknak, elsősorban azért, mert a kormányzati infrastruktúrákban széles körben alkalmazzák azokat.

A Microsoft októberi Patch Tuesday frissítési csomagja eközben új rekordot állított fel: összesen 1407 CVE-azonosítóval nyilvántartott sérülékenységhez tartalmazott javítást, jelentősen meghaladva a szeptemberben rögzített 973-as havi rekordot. A Tenable szakértője, Satnam Narang kiemelte, hogy az októberben javított sérülékenységek száma önmagában meghaladja a korábbi rekordévnek számító 2020 teljes éves, 1261 sérülékenységet felölelő értékét. A Microsoft által 2026-ban javított sérülékenységek száma így már az év utolsó két hónapja előtt átlépte a négyezret.

A fejlemények ismét rávilágítanak a biztonsági frissítések mielőbbi telepítésének jelentőségére, különösen az internet felől elérhető, szervezeti hálózatokhoz hozzáférést biztosító rendszerek esetében.

(forrás)