Már kihasználják az Ivanti Connect Secure hibáját, az NKI azonnali javítást kér

Az Ivanti október 13-án adott ki közleményt a CVE-2026-104935 azonosítójú sérülékenységről. A gyártó megerősítette, hogy a közzétételkor már kihasználták, és a támadások korlátozott számú ügyfelet érintettek.

A hiba lehetővé teszi a hitelesítés megkerülését. Műszaki súlyossága a tízfokú CVSS-skálán 8,6, ami magas besorolást jelent.

A CISA október 13-án felvette a bizonyítottan kihasznált sebezhetőségek listájára. Az ott szereplő 2026. október 16-i javítási határidő az amerikai szövetségi szervekre vonatkozik, nem magyarországi kötelezettség. Az NKI ettől függetlenül azonnali intézkedést javasol.

Az NKI a 25.1.3.0, a 25.1.3.1 és a 22.8R2.5 előtti kiadásokat nevezi érintettnek. Ugyanakkor gyártói ajánlásként a 25.1.1.2 vagy újabb változat használatát írja. Ez a verziófelsorolás nem egyértelmű: a megadott ajánlásból önmagában nem állapítható meg biztosan a javított 25.1-es kiadás.

Ha az ajánlott váltás azonnal nem hajtható végre, a riasztás szerint átmenetileg a 22.8R2.5 telepíthető. A 22.7R2.14 és korábbi változatokat ez a hiba nem érinti. A 22.7 termékvonal támogatása azonban 2027. január 31-én megszűnik, ezért az NKI a 25.1-re áttérés megtervezését javasolja.

A Windows Shell CVE-2026-96951 hibájával a támadó megkerülheti a Mark of the Web nevű védelmet. A Microsoft szerint ezt a sérülékenységet is aktívan kihasználják.

E-mailben vagy azonnali üzenetben speciálisan kialakított fájlt küldhetnek. A támadónak rá kell vennie a címzettet annak megnyitására, egy hivatkozás követésére vagy más műveletre; közvetlenül nem kényszerítheti a tartalom megtekintésére.

Az érintett, támogatott Windows kliens- és szerververziók pontos listáját, valamint a hozzájuk tartozó javításokat a Microsoft biztonsági frissítési útmutatójának CVE-2026-96951 adatlapja tartalmazza.