Ivanti patchar två Connect Secure-brister som utnyttjats i nolldagsattacker

Ivanti har släppt säkerhetsuppdateringar för ytterligare två sårbarheter i fjärråtkomstgatewayen Connect Secure (ICS), efter att angripare använt dem i nolldagsattacker. Enligt källrapporten har aktiviteten pågått sedan minst 1 oktober.

Sårbarheterna, som spåras som CVE-2026-111357 och CVE-2026-118527, kedjades ihop med CVE-2026-104935, en autentiseringsbrist som Ivanti patchade i oktober. Ivanti uppgav att företaget prioriterade att åtgärda den bristen eftersom den stängde den primära angreppsvägen. Företaget beskrev den tidigare exploateringen som ”begränsad”.

CVE-2026-111357 är en sårbarhet med hög allvarlighetsgrad som gör det möjligt att höja behörigheter. CVE-2026-118527 låter autentiserade angripare ladda upp filer till en o-patchad enhet. Volexity rapporterade att en hotaktör som de spårar som UTA0576 sedan minst 3 oktober hade kedjat CVE-2026-104935 med två andra sårbarheter för att få kodkörning på rotnivå utan autentisering på helt patchade ICS-enheter. Volexity uppgav att aktören inte använde skadlig kod eller webbskal, utan utnyttjade enheterna på nytt för varje kommando och manipulerade loggar.

Defused rapporterade också tecken på exploatering av CVE-2026-104935 från 1 oktober. CISA lade till sårbarheten i sin katalog över aktivt utnyttjade brister och beordrade amerikanska federala myndigheter att patcha systemen senast på fredag. Shadowserver spårar över 5 000 ICS-enheter som är exponerade mot internet. Enligt källrapporten är det okänt hur många som har säkrats mot de pågående attackerna.