Ivanti Connect Secure: útočníci zneužívají řetězec tří chyb

Co se stalo

Ivanti Connect Secure je VPN brána, přes kterou se zaměstnanci připojují do firemní sítě. Útočníci na ni teď používají řetězec tří chyb:

Výrobce opravil první chybu 13. října a další dvě doplnil do svého bezpečnostního upozornění 29. října. Americká agentura CISA zařadila všechny tři chyby do katalogu prokazatelně zneužívaných zranitelností (KEV). To znamená, že útoky skutečně probíhají, nejde o teoretické riziko.

Útoky odhalila bezpečnostní firma Volexity. Podle její zprávy začaly 3. října 2026 a útočník napadl bránu, která měla tehdy nejnovější dostupnou verzi 22.8R2.4.

Proč je to vážné

Volexity popisuje, co útočník po napadení brány dělal:

• vytáhl z brány uložené přihlašovací údaje, včetně účtu pro čtení z Active Directory (LDAP),
• prohledával Active Directory a hledal hesla správců z LAPS, klíče pro obnovu BitLockeru a další hesla,
• zkoušel hádat hesla a odchytával síťový provoz,
• upravoval logy a mazal po sobě stopy.

Na bráně přitom nenechal webshell ani jiný trvalý malware – příkazy posílal přímo přes zneužití chyb. Volexity proto upozorňuje, že nástroj Ivanti Integrity Checker napadení nemusí odhalit.

Napadená VPN brána je tak vstupní branou do celé firemní sítě. Volexity hodnotí aktivitu jako přípravu na další postup po síti.

Koho se to týká

Organizací, které provozují Ivanti Connect Secure. Podle kanadského Cyber Centre jsou zranitelné verze:

• starší než 22.8R2.6,
• starší než 25.1.1.3,
• starší než 25.1.3.1.

Běžných uživatelů, kteří se jen přihlašují do firemní VPN, se chyba přímo netýká – jednat musí správce IT.

Co udělat

1. Zjistěte verzi Ivanti Connect Secure ve správcovském rozhraní brány.
2. Aktualizujte na opravenou verzi podle upozornění výrobce (odkaz ve zdrojích). Výrobce stránku průběžně doplňuje, proto ověřte, že máte nejnovější opravu.
3. Prověřte, zda brána nebyla napadena. Volexity doporučuje:
   • sledovat velké množství požadavků na /dana-na/auth/url_default/welcome.cgi,
   • hledat požadavky, u kterých se cesta v URL neshoduje s hlavičkou X-DSCGI-PATH,
   • zkontrolovat adresář /tmp/ na bráně,
   • při podezření nechat udělat síťovou a paměťovou forenzní analýzu – samotný Integrity Checker nestačí.
4. Při podezření na napadení považujte za vyzrazené všechny údaje uložené v bráně (např. servisní účet pro LDAP) a změňte je. Zkontrolujte i hesla z LAPS a klíče BitLockeru, ke kterým měl servisní účet přístup. Tento krok Volexity výslovně neuvádí, ale vyplývá z toho, co útočník kradl.
5. Pokud vaše organizace spadá pod zákon o kybernetické bezpečnosti a napadení potvrdíte, postupujte podle svých povinností k hlášení incidentů.

Aktualizace

• 6. 11. 2026 – první verze článku.