1. Op 3 oktober 2026 begon een onbekende dreigingsactor, aangeduid als UTA0576, met het uitbuiten van kwetsbaarheden in Ivanti Connect Secure-apparaten. De aanvallen werden op 5 oktober 2026 ontdekt door onderzoekers die verdachte activiteiten opmerkten en deze konden traceren naar een Ivanti Connect Secure-apparaat dat versie 22.8R2.4 draaide.
2. De kwetsbaarheden, samengevat onder CVE-2026-104935, maakten een keten van aanvallen mogelijk. Dit omvatte een bypass van authenticatie op afstand, een kwetsbaarheid voor het uploaden van bestanden die code-uitvoering toeliet, en een aparte kwetsbaarheid voor privilege-escalatie.
3. Door het combineren van deze zwakheden konden aanvallers roottoegang verkrijgen tot het apparaat.
4. De kwetsbaarheden maken onder andere bypass van authenticatie op afstand en commando-uitvoering mogelijk, wat kan leiden tot diefstal van inloggegevens en data-exfiltratie.
5. Aanvallers gebruikten de gecompromitteerde apparaten om gevoelige informatie te verzamelen, waaronder opgeslagen domeingebruikersnamen, Active Directory-gegevens, wachtwoorden van lokale beheerders en BitLocker-herstelsleutels.
6. Tijdens de aanvallen werden ook wachtwoord-sprayaanvallen, netwerkdetectie en pogingen tot het herstellen van inloggegevens uit onderschepte dataverkeer waargenomen.
7. De aanvaller gebruikte geen web shell of backdoor om commando-toegang te behouden. In plaats daarvan voerde de aanvaller de exploitketen herhaaldelijk uit en ontving resultaten via HTTPS-antwoorden.
8. Om hun activiteiten te verbergen, wijzigden de aanvallers bibliotheekcode in het geheugen, herstelden configuratiewijzigingen en verwijderden selecteerde logboekvermeldingen.
9. CISA waarschuwt dat de Integrity Checker Tool van Ivanti mogelijk geen bewijs van deze aanval detecteert, omdat kwaadaardige commando's in het geheugen worden uitgevoerd.
10. Op 13 oktober 2026 voegde CISA de kwetsbaarheid CVE-2026-104935 toe aan de catalogus van bekende uitgebuitte kwetsbaarheden en riep beheerders op om Ivanti Connect Secure-apparaten te patchen.
11. De waarschuwing van CISA is van toepassing op Ivanti Connect Secure-versies 25.1.1.1 en eerder, 25.1.2.2 en eerder, en 22.8R2.4 en eerder.
12. Op 13 oktober 2026 heeft Ivanti fixes uitgebracht voor de authenticatiebypass en de kwetsbaarheid voor code-uitvoering. Een fix voor de aparte kwetsbaarheid voor privilege-escalatie was op het moment van publicatie van het onderzoek nog in ontwikkeling.
13. Organisaties wordt aangeraden de beveiligingsadviezen van de fabrikant te volgen voor de juiste update en de beschikbare update niet uit te stellen in afwachting van de aanvullende fix.
14. CISA heeft beheerders ook verwezen naar de migratiegids van Ivanti, aangezien er verschillende upgradevereisten zijn voor hardware-, cloud- en virtuele apparaten.
15. Organisaties die de 22.8-branch gebruiken, moeten migratie plannen vóór de end-of-life datum van 31 januari 2027.
16. Alleen het installeren van een patch vervangt de noodzakelijke herstelstappen niet.
17. Bij vermoedelijke compromittering wordt aangeraden om een back-up te maken van de apparaatconfiguratie vóór herstel, de laatste versie te installeren na een fabrieksreset en gestolen geheimen te herstellen.
18. Herstel omvat het opnieuw instellen van wachtwoorden voor domein-, beheerder- en lokale accounts, het intrekken en opnieuw uitgeven van opgeslagen certificaten, en het opnieuw instellen van opgeslagen API-sleutels en licentieserver-inloggegevens.
19. Cloud- en virtuele implementaties moeten worden herbouwd en geüpgraded voordat beheerders de opgeslagen configuratie herstellen.
20. Netwerk- en geheugenanalyse zijn belangrijke methoden voor het controleren op inbreuken op blootgestelde apparaten.