W urządzeniach VPN Ivanti Connect Secure wykryto krytyczną podatność o identyfikatorze CVE-2026-104935. Luka ta pozwala napastnikom na ominięcie mechanizmów uwierzytelniania oraz zdalne wykonywanie dowolnego kodu bez konieczności interakcji z użytkownikiem.
Grupa UTA0576 wykorzystuje tę lukę w połączeniu z inną, niezałataną jeszcze podatnością służącą do eskalacji uprawnień. Taka kombinacja pozwala atakującym na uzyskanie pełnego dostępu do poziomu root, co umożliwia kradzież poświadczeń, eksfiltrację danych oraz dalszą penetrację sieci wewnętrznej.
Atakujący stosują zaawansowane techniki, takie jak wykonywanie kodu bezpośrednio w pamięci operacyjnej oraz metody antyforensic, aby uniknąć wykrycia przez systemy bezpieczeństwa. Sytuacja jest poważna, ponieważ mimo wydania łatek na główną lukę, mechanizm eskalacji uprawnień wciąż pozostaje niezałatany.
Organizacje korzystające z dotkniętych urządzeń powinny niezwłocznie zainstalować poprawki od Ivanti i rozważyć migrację z przestarzałych wersji sprzętu. Konieczne jest monitorowanie systemów pod kątem nieautoryzowanych działań, nawet po aktualizacji.
