Három Ivanti-hibát láncolnak a támadók, hogy bejelentkezés nélkül futtassanak kódot
A Volexity szerint egy támadó három Ivanti Connect Secure-sérülékenységet használ együtt, hogy bejelentkezés nélkül rootjoggal futtasson kódot. A VPN-eszközöket érintő hibákra megjelentek javítások, a gyártó pedig az eszközök rendszeres ellenőrzését is ajánlja.
Frissítés (2026. november 4.): újabb cikkünk az ügyről
Már támadják a PHP két kritikus hibáját, megérkeztek a javítások
Fontos
Aktívan kihasznált, kritikus: CVSS 8.6
Így jutnak el a támadók a rootjogig
A Volexity UTA0576 néven követi a támadót, amely a kutatók szerint legalább október eleje óta használja ki a hibákat. A lánc első eleme, a CVE-2026-104935 megkerüli a hitelesítést; a másik két rés lehetővé teszi a támadó által összeállított fájl feltöltését és a jogosultságok kiterjesztését.
A CISA szerint a CVE-2026-118527 hibát önmagában egy bejelentkezett távoli támadó használhatja fájl feltöltésére. A CVE-2026-111357 pedig egy helyi, bejelentkezett támadónak adhat magasabb jogosultságot. A három hiba együtt bejelentkezés nélküli, rootjogú kódfuttatáshoz vezethet.
Jelszavakat és helyreállítási kulcsokat kerestek
A Volexity megfigyelései szerint a támadó hitelesítési adatokat és korlátozott Active Directory-metaadatokat szerzett meg, emellett rendszergazdai jelszavak és BitLocker-helyreállítási kulcsok után kutatott.
A The Stack beszámolója szerint a támadó minden parancsnál újra lefuttatta a hibák láncát, a parancsokat és az eredményeket pedig a HTTPS-kérésekben továbbította. Az Ivanti szerint kevés, a kompromittálódásra utaló jel áll rendelkezésre.
A javítás mellett az ellenőrzés is fontos
A két később javított hibára az Ivanti Connect Secure 25.1.1.3 és 22.8R2.6 kiadása tartalmaz javítást. A hitelesítés megkerülését lehetővé tevő hibát korábban javították; a 25.1.3.0 és 25.1.3.1 kiadásban is szerepel a javítása. A gyártó az Integrity Checker Tool rendszeres futtatását ajánlja a támadásra utaló jelek kereséséhez.
A CISA a CVE-2026-111357 javítására 2026. november 2-át, a CVE-2026-118527 javítására november 13-át jelölte ki határidőként az amerikai szövetségi szerveknek.
Az ügy eddig
- Hivatalos Node.js-kiadáson is sikerült kódot futtatni a Brotli hibájával
- Már kihasználják a Brotli hibáját, a Microsoft soron kívül javította a .NET-ben
- A Brotli hibáját már kihasználják, a .NET is érintett
- Három Ivanti-hibát láncolnak a támadók, hogy bejelentkezés nélkül futtassanak kódot (ez a cikk)
- Már támadják a PHP két kritikus hibáját, megérkeztek a javítások
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum