VPN-urile Ivanti Connect Secure, atacate prin trei vulnerabilități zero-day: acces root fără parolă, fără urme în jurnale, iar a treia breșă nu are încă patch

Ivanti a confirmat pe 13 octombrie 2026 că o vulnerabilitate gravă din Ivanti Connect Secure, unul dintre cele mai folosite VPN-uri pentru companii și instituții, a fost exploatată în atacuri înainte să existe un patch. Firma de securitate Volexity, care a investigat atacul, spune că atacatorul a înlănțuit trei vulnerabilități zero-day și a obținut acces root fără să se autentifice, pe un echipament care avea instalată ultima versiune disponibilă. Două dintre vulnerabilități au primit deja reparații. Pentru a treia, Ivanti nu are încă un patch.

Ce s-a întâmplat

Ivanti Connect Secure (fostul Pulse Connect Secure) este echipamentul prin care angajații unei firme se conectează de acasă la rețeaua internă. Fiind expus permanent pe internet și având acces direct în rețeaua companiei, e una dintre țintele preferate ale atacatorilor: agenția americană de securitate cibernetică CISA a marcat de la sfârșitul lui 2021 încoace 36 de vulnerabilități Ivanti ca exploatate în atacuri reale, iar 12 dintre ele au fost folosite de grupări de ransomware, potrivit BleepingComputer.

De data aceasta, atacul a început pe 3 octombrie, potrivit Volexity. Firma Defused spune că a văzut primele semne de exploatare încă din 1 octombrie. Volexity urmărește atacatorul sub numele UTA0576, un grup necunoscut până acum, și a confirmat o singură victimă. Ivanti vorbește despre o „exploatare limitată” și le cere clienților cu versiuni afectate să „acționeze imediat”.

Ivanti a dat vulnerabilității scorul 8,6 din 10 (CVSS), adică „ridicat”, nu „critic”, deși permite rularea de comenzi fără autentificare. Potrivit Rapid7, o parte a problemei fusese descoperită intern și reparată încă din iulie, în versiunea 25.1.3.0. Atacul a avut loc în timp ce Ivanti aducea aceeași reparație și pe celelalte versiuni pe care le suportă.

Ce versiuni sunt afectate

Versiunile reparate închid primele două vulnerabilități. Escaladarea de privilegii rămâne deschisă, dar, odată închisă ocolirea autentificării, lanțul descris de Volexity nu mai poate fi pornit de pe internet fără un cont valid. CISA a adăugat vulnerabilitatea în catalogul vulnerabilităților exploatate activ și le-a cerut instituțiilor federale americane să o repare până pe 16 octombrie. Organizația Shadowserver urmărește peste 5.500 de echipamente Ivanti Connect Secure expuse pe internet, fără să precizeze câte sunt deja actualizate.

De ce e greu de detectat

Atacul a fost construit ca să nu lase urme. Atacatorul nu a instalat niciun malware și niciun web shell. A rulat din nou întregul lanț de vulnerabilități pentru fiecare comandă, a modificat codul doar în memorie și și-a șters urmele din jurnale. Rezultatul: Integrity Checker Tool, unealta Ivanti care verifică dacă echipamentul a fost modificat, nu a observat nimic. Volexity mai spune, cu încredere medie, că atacatorul și-a construit uneltele cu ajutorul unor modele mari de limbaj (AI), și crede, cu încredere scăzută, că e vorba de un grup infracțional, nu de spionaj.

Odată intrat, atacatorul a mers mai departe în rețea. A folosit contul de serviciu cu care echipamentul se conectează la Active Directory, ca să caute parolele de administrator local și cheile de recuperare BitLocker. A încercat să ghicească parolele mai multor conturi (password spraying) și a capturat datele de autentificare în clar din traficul VPN. Cu alte cuvinte, pentru o firmă, VPN-ul compromis nu e capătul problemei, ci punctul de intrare.

Ce trebuie să facă administratorii acum

1. Actualizați imediat la una dintre versiunile reparate, ca schimbare de urgență, nu în ciclul obișnuit de patch-uri.
2. Căutați semne de compromitere și după actualizare. Patch-ul oprește atacurile noi, dar nu scoate un atacator care a intrat deja. Ivanti spune că nu are indicatori de compromitere siguri, așa că verificați indicatorii publicați de Volexity pe GitHub (tabelul de mai jos).
3. Nu vă bazați doar pe Integrity Checker Tool. În acest atac nu a detectat nimic. Volexity recomandă analiză forensică a rețelei și a memoriei.
4. Schimbați parolele contului de serviciu folosit de VPN pentru Active Directory și ale conturilor care s-au conectat prin VPN după 1 octombrie, dacă găsiți orice semn suspect. Verificați și cheile BitLocker.
5. Urmăriți patch-ul pentru a treia vulnerabilitate și instalați-l când apare.
6. Raportați incidentul. În România, firmele și instituțiile care intră sub directiva NIS2 trebuie să raporteze incidentele semnificative la Directoratul Național de Securitate Cibernetică (DNSC).

Pentru utilizatorii obișnuiți nu e nimic de făcut: problema ține de echipamentele firmelor. Dacă lucrezi de acasă prin VPN-ul companiei și primești o cerere de resetare a parolei, verific-o însă direct cu departamentul IT, nu prin linkul din mesaj: după astfel de incidente apar des și mesaje false. Am scris recent și despre alte echipamente de rețea folosite ca poartă de intrare, cum ar fi firewall-urile Fortinet compromise, iar despre ce face, de fapt, un VPN poți citi în ghidul nostru VPN: ce este și când îl folosești.

Informațiile provin din raportul Volexity și avizul Ivanti, așa cum au fost relatate de The Hacker News (lanțul de vulnerabilități, tehnicile și indicatorii de compromitere), BleepingComputer (versiunile afectate, numărul de echipamente expuse și istoricul vulnerabilităților Ivanti), Rapid7 (scorul CVSS, versiunile reparate și reparația din iulie) și iTnews (termenul CISA și acțiunile atacatorului în rețea). Situația este cea din 15 octombrie 2026. Ivanti nu a anunțat încă data patch-ului pentru escaladarea de privilegii.