Ivanti Connect Secure: un zero-day al VPN-ului este exploatat de săptămâni și nu este suficient să actualizezi

Publicat pe 1 noiembrie 2026 · Echipa mitza.es

Când se vorbește despre securitate informatică, ne gândim la antivirus și la parole, dar poarta de intrare a multor firme este alta: VPN-ul, echipamentul care le permite angajaților să se conecteze la birou din exterior. Este un dispozitiv care, prin design, este deschis către internet, și de aceea este o țintă preferată. Ultima alertă importantă privește Ivanti Connect Secure, un VPN foarte răspândit în firmele mijlocii și printre furnizorii de servicii informatice. Rezumăm ce se știe la data de 1 noiembrie 2026, cu precauțiile de rigoare: investigația este încă deschisă.

Ce s-a întâmplat

Pe 13 octombrie 2026, Ivanti a publicat avizul său de securitate pentru CVE-2026-104935, o vulnerabilitate de ocolire a autentificării în Ivanti Connect Secure (VPN-ul care se numea înainte Pulse Connect Secure). Permite unui atacator de la distanță, fără credențiale, să execute comenzi pe echipament. Ivanti a recunoscut că fusese exploatată înainte de publicarea patch-ului, la un număr limitat de clienți, motiv pentru care este considerată un zero-day. În aceeași zi, agenția americană CISA a inclus-o în catalogul său de vulnerabilități exploatate activ (KEV). Rapid7 îi atribuie o gravitate de 8,6 din 10.

Cine a exploatat-o și de când

Firma de securitate Volexity a detectat activitatea și o atribuie unui grup care nu fusese încă identificat, pe care îl urmărește sub numele UTA0576. Potrivit Volexity, lanțul de atac era folosit cel puțin din 3 octombrie; o altă firmă plasează primele indicii pe 1 octombrie. Adică au existat atacuri timp de mai bine de o săptămână înainte să existe un patch. Iar defectul nu acționa singur: atacatorii îl înlănțuiau cu alte vulnerabilități pentru a obține execuție de cod cu permisiuni de administrator (root) fără autentificare, chiar și pe echipamente care erau complet actualizate la acel moment.

Versiuni afectate și corectate

Potrivit datelor publicate de Ivanti și preluate de Rapid7, sunt afectate versiunile 22.8R2.4 și anterioare, 25.1.1.1 și anterioare și 25.1.2.2 și anterioare (din fiecare ramură). Versiunile 22.7.x și anterioare nu sunt afectate. Versiunile corectate pe care le citează Rapid7 sunt 22.8R2.5, 25.1.1.2, 25.1.3.0 și 25.1.3.1. Verifică întotdeauna avizul oficial Ivanti înainte să acționezi, pentru că este sursa care se poate actualiza.

De ce acest defect este deosebit de incomod

Volexity descrie un atac atent: nu lăsa programe malițioase sau uși din spate (web shells) care să poată fi găsite ulterior, exploata din nou defectul de fiecare dată când voia să execute o comandă și manipula jurnalele echipamentului. Potrivit analizei sale, acest lucru a permis ocolirea instrumentului de verificare a integrității pus la dispoziție chiar de producător. Consecința practică este importantă: faptul că acel instrument nu detectează nimic nu dovedește că echipamentul este curat.

În plus, când a fost publicat avizul, una dintre vulnerabilitățile din lanț (o escaladare de privilegii) rămăsese fără patch. Ivanti a indicat că o va corecta mai târziu, așa că merită urmărite următoarele sale actualizări.

Cum afli dacă firma ta folosește Ivanti Connect Secure

• Întreabă persoana sau firma care îți gestionează informatica ce VPN folosiți și de la ce producător este.
• Verifică inventarul echipamentelor de rețea: poate apărea ca Ivanti, Pulse Secure sau Pulse Connect Secure.
• Uită-te la ecranul de autentificare al VPN-ului din afara biroului: de obicei poartă sigla producătorului.
• Dacă accesul este gestionat de un furnizor, cere-i în scris să confirme versiunea și data ultimei actualizări.

Ca să înțelegi dimensiunea problemei: serviciul de monitorizare Shadowserver numără peste 5.500 de instanțe ale acestui produs expuse la internet în întreaga lume, deși nu se știe câte sunt deja protejate sau sunt capcane (honeypots). Nu este o cifră specifică pentru Spania.

Ce faci astăzi: lista de verificare

1. Confirmă dacă îl folosești și ce versiune ai (vezi secțiunea anterioară).
2. Actualizează la o versiune corectată urmând avizul Ivanti. Dacă echipamentul tău face parte din ramura afectată, tratează situația ca pe o urgență, nu ca pe o sarcină pentru următoarea mentenanță.
3. Nu te baza doar pe instrumentul de integritate. Cere o verificare a jurnalelor, a conexiunilor și a activității echipamentului, ideal de către cineva cu experiență în analiză criminalistică.
4. Schimbă credențialele și cheile care au trecut prin echipament dacă acesta a fost expus înainte de aplicarea patch-ului: parolele utilizatorilor VPN, conturile de serviciu, certificatele și cheile de acces. Este o măsură prudentă, recomandată de analiști în fața unei posibile compromiteri.
5. Activează verificarea în doi pași la accesele VPN și limitează administrarea echipamentului la rețeaua internă sau la anumite adrese.
6. Păstrează jurnalele în afara echipamentului (pe un server separat), pentru că atacatorii pot manipula jurnalele rămase pe dispozitiv.
7. Notează data și acțiunile întreprinse. Dacă mai târziu ar trebui notificat un incident, îți va fi de folos să ai cronologia.

Dacă crezi că au intrat

Semnale care justifică o verificare urgentă: conexiuni VPN ale unor utilizatori care nu lucrau, accesări din țări sau intervale orare neobișnuite, modificări de configurație pe care nimeni nu-și amintește să le fi făcut sau jurnale cu goluri. În acest caz, urmează pașii de recuperare ai producătorului, izolează echipamentul dacă este posibil și anunță furnizorul tău de servicii informatice. Dacă sunt afectate date cu caracter personal, consultă cât mai repede consultantul tău cu privire la notificarea autorității de protecție a datelor. Poți cere și ajutor gratuit de la INCIBE la numărul 017.

Cum reduci pe termen mediu riscul unui VPN

• Accesul la VPN să nu însemne acces la tot: segmentează rețeaua astfel încât fiecare utilizator să ajungă doar la ce are nevoie.
• Păstrează un inventar al echipamentelor de margine (VPN, firewall-uri, gateway-uri) cu versiunea și responsabilul lor.
• Abonează-te la avizele producătorului și ale INCIBE-CERT și stabilește un termen maxim de aplicare a patch-urilor pentru defectele critice (de exemplu, 48 de ore).
• Evaluează alternative când un produs acumulează vulnerabilități grave: acces bazat pe identitate (modele de „încredere zero”), alt producător sau servicii gestionate.
• Ai copii de siguranță independente și testate, pentru cazul în care trebuie să reinstalezi: le explicăm în regula 3-2-1 a copiilor de siguranță.

Nu este un caz izolat: echipamentele de margine, atacate în această toamnă

Avizul Ivanti se adaugă altora despre care am scris deja: zero-day-urile Citrix NetScaler și vulnerabilitățile din gateway-urile de email Cisco și FortiMail. Tiparul se repetă: atacatorii caută dispozitivele care protejează intrarea în rețea, pentru că, dacă le compromit, obțin acces la tot restul. Dacă vrei să înțelegi cum se organizează această primă linie de apărare, citește ghidul nostru despre ce este un firewall și de ce are nevoie un IMM. Iar pentru panorama amenințărilor, articolul despre ransomware în companiile din Spania, pentru că o intruziune prin VPN este una dintre cele mai frecvente căi de intrare.

Întrebări rapide

Mă afectează dacă folosesc doar un VPN de la alt producător?

Acest aviz concret, nu. Dar sfatul general rămâne valabil: știi ce echipamente ai expuse la internet, ține un calendar de actualizări și cere-i furnizorului tău un termen maxim de aplicare a patch-urilor pentru vulnerabilitățile critice.

Este suficient să actualizez?

Nu neapărat. A existat exploatare înainte de patch, iar atacul a fost conceput să lase puține urme. După actualizare, merită să verifici dacă a existat o intruziune și să schimbi credențialele care au trecut prin echipament.

Are legătură cu reglementarea NIS2?

Gestionarea vulnerabilităților și a furnizorilor face parte din măsurile așteptate de la companiile vizate de directivă. Contextul îl găsești în ghidul nostru despre reglementarea NIS2 pentru IMM-uri.

Cum te ajutăm la Mitza

Îți verificăm rețeaua, accesele la distanță și echipamentele expuse și te ajutăm să actualizezi și să verifici dacă a existat o intruziune. Dacă te afli în sudul Madridului, vezi serviciul nostru de mentenanță IT sau spune-ne cazul tău din pagina de contact.