Οι συσκευές Ivanti Connect Secure βρίσκονται ξανά στο επίκεντρο της αμερικανικής υπηρεσίας κυβερνοασφάλειας. Την Παρασκευή 30 Οκτωβρίου 2026 η CISA ανακοίνωσε ότι προσθέτει στον κατάλογο Γνωστών Εκμεταλλευόμενων Ευπαθειών (KEV) δύο ακόμη ευπάθειες του προϊόντος, τις CVE-2026-111357 και CVE-2026-118527, με βάση στοιχεία ενεργής εκμετάλλευσης, δηλαδή οι επιτιθέμενοι τις αξιοποιούν ήδη. Η υπηρεσία χαρακτηρίζει τέτοιες ευπάθειες συχνό μέσο επίθεσης για κακόβουλους φορείς απειλής, με σημαντικούς κινδύνους για τον ομοσπονδιακό τομέα.
Η CVE-2026-111357 χαρακτηρίζεται «έλλειψη ελέγχου ταυτότητας σε κρίσιμη λειτουργία». Επιτρέπει σε τοπικό χρήστη που έχει ήδη πιστοποιηθεί στη συσκευή να αποκτήσει αυξημένα δικαιώματα. Η CVE-2026-118527 ανήκει στην κατηγορία «δημιουργία προβλέψιμων αριθμών ή αναγνωριστικών»: ένας απομακρυσμένος επιτιθέμενος, που έχει επίσης πιστοποιηθεί, μπορεί να ανεβάσει αρχεία με περιεχόμενο της επιλογής του σε γνωστή θέση του δίσκου.
Οι δύο νέες καταχωρίσεις δεν στέκονται μόνες τους. Στον κατάλογο KEV η CISA σημειώνει ότι μπορούν να συνδυαστούν με την CVE-2026-104935, μια ευπάθεια παράκαμψης του ελέγχου ταυτότητας μέσω πλαστοπροσωπίας, η οποία επιτρέπει σε μη πιστοποιημένο απομακρυσμένο επιτιθέμενο να εκτελεί αυθαίρετες εντολές. Εκείνη είχε μπει στον κατάλογο στις 13 Οκτωβρίου. Η ειδοποίηση της 13ης Οκτωβρίου ενημερώθηκε ώστε να καλύπτει πλέον και τις δύο νέες, και στην ενημερωμένη μορφή της αναφέρονται ως επηρεαζόμενες οι εκδόσεις 25.1.1.2 και παλαιότερες, 25.1.2.2 και παλαιότερες, καθώς και 22.8R2.5 και παλαιότερες. Η CISA γνωρίζει ότι επιτιθέμενοι εκμεταλλεύονται τις ευπάθειες για κλοπή διαπιστευτηρίων και διαρροή δεδομένων. Υπενθυμίζει ότι η έκδοση 22.8 φτάνει στο τέλος του κύκλου ζωής της (end of life) στις 31 Ιανουαρίου 2027. Καλεί τους οργανισμούς να εγκαταστήσουν αμέσως την τελευταία έκδοση, όπως περιγράφεται στο δελτίο ασφαλείας της Ivanti.
Για τις ομοσπονδιακές πολιτικές υπηρεσίες των ΗΠΑ οι προθεσμίες είναι σύντομες. Η εφαρμογή μέτρων για την CVE-2026-111357 πρέπει να ολοκληρωθεί έως τη Δευτέρα 2 Νοεμβρίου και για την CVE-2026-118527 έως την Παρασκευή 13 Νοεμβρίου. Οι υπηρεσίες οφείλουν να εφαρμόσουν τα μέτρα του κατασκευαστή ή, αν δεν υπάρχουν διαθέσιμα, να σταματήσουν να χρησιμοποιούν το προϊόν. Για την πρώτη από τις δύο ο κατάλογος προβλέπει και ανάλυση «forensic triage», δηλαδή πρώτο εγκληματολογικό έλεγχο για το αν το σύστημα είχε παραβιαστεί πριν από την ενημέρωση. Η οδηγία BOD 26-04 δεσμεύει μόνο τις ομοσπονδιακές πολιτικές υπηρεσίες, όμως η CISA προτρέπει όλους τους οργανισμούς να υιοθετήσουν διαχείριση ευπαθειών με βάση τον κίνδυνο.
Όσοι θέλουν να διαπιστώσουν αν έχουν παραβιαστεί θα χρειαστούν εγκληματολογική ανάλυση δικτύου και μνήμης. Το εργαλείο ελέγχου ακεραιότητας (Integrity Checker Tool) της Ivanti ίσως δεν εντοπίσει την εκμετάλλευση της CVE-2026-104935, επειδή οι εντολές των επιτιθεμένων εκτελούνται στη μνήμη. Σε περίπτωση υποψίας παραβίασης η CISA προτείνει τέσσερα βήματα: αντίγραφο ασφαλείας των ρυθμίσεων, επαναφορά εργοστασιακών ρυθμίσεων και αναβάθμιση στην τελευταία έκδοση (σε cloud και εικονικά συστήματα, ανακατασκευή της εικονικής εγκατάστασης), επαναφορά των ρυθμίσεων από το αντίγραφο και αλλαγή των κωδικών όλων των λογαριασμών, με ανάκληση και επανέκδοση των αποθηκευμένων πιστοποιητικών και ανανέωση των κλειδιών API και των διαπιστευτηρίων του διακομιστή αδειών. Η υπηρεσία παραπέμπει και στην ανάλυση της Volexity για τη συνδυασμένη εκμετάλλευση των τριών ευπαθειών ως «zero-day», δηλαδή ευπαθειών που αξιοποιήθηκαν πριν υπάρξει διαθέσιμη διόρθωση.
Οι προσθήκες της Παρασκευής έρχονται μία ημέρα μετά την ένταξη στον ίδιο κατάλογο των ευπαθειών του GitLab και των Cisco ASA και FTD, για τις οποίες έχουμε γράψει στο προηγούμενο ρεπορτάζ μας για τον κατάλογο KEV. Η υπηρεσία είχε παρουσιάσει στις 26 Οκτωβρίου τη νέα στρατηγική της «CISA 2030», για την οποία γράψαμε αναλυτικά.
