Kritisk Ivanti-sårbarhet utnyttjas aktivt — patcha VPN nu
CISA varnar för en aktivt utnyttjad sårbarhet (CVE-2026-104935) i Ivanti Connect Secure som tillåter obehöriga att utföra kommandon. Sårbarheten, med en CVSS-poäng på 8.6, kan leda till stöld av användarnamn och lösenord.
CISA varnar för en kritisk sårbarhet i Ivanti Connect Secure som redan utnyttjas aktivt av angripare. Svenska företag med VPN-lösningen bör patcha omedelbart.
Sårbarheten CVE-2026-104935 har en CVSS-poäng på 8,6 och möjliggör autentiseringsförbigång. Fjärrangripare kan exekvera godtyckliga kommandon utan att logga in.
Vilka versioner påverkas?
- 25.1.1.1 och tidigare
- 25.1.2.2 och tidigare
- 22.8R2.4 och tidigare
Så går attackerna till
Hotaktören UTA0576 utnyttjar sårbarheten för att stjäla lagrade autentiseringsuppgifter, inklusive LDAP-domänlösenord. Med root-åtkomst på VPN-enheten blir den en angriparkontrollerad brohuvud in i nätverket.
I ett dokumenterat fall sökte angriparna igenom Active Directory efter lösenord och körde password-spraying-attacker. Giltiga inloggningsuppgifter är svårare att upptäcka än skadlig kod.
Vad svenska företag bör göra
CISA har lagt till sårbarheten i sin KEV-katalog med deadline 16 oktober 2026 för amerikanska myndigheter. Svenska organisationer bör agera nu:
- Kontrollera om ni kör påverkade ICS-versioner
- Följ Ivantis uppgraderingsguide för patching
- Granska loggar för misstänkt aktivitet
- Rotera LDAP- och AD-lösenord vid misstanke om intrång
Källa: Security Magazine