Threat Response - Critical Zero-day in Ivanti Connect Secure

A critical zero-day vulnerability in Ivanti Connect Secure is being actively exploited by attackers [1]. This vulnerability allows unauthorised access to your systems without any login credentials, potentially giving attackers complete control over affected devices. Ivanti has released security updates that should be applied immediately to protect from a potential system compromise.

 

Description
Ivanti Connect Secure, a VPN solution used for remote access, contains a serious security flaw (CVE-2026-104935). The vulnerability is an authentication bypass that allows attackers to execute arbitrary commands on the system without requiring previous authentication. Ivanti has confirmed that attackers were already exploiting this vulnerability in real-world attacks before patches became available [2].

 

Impact
We estimate the impact of this vulnerability as High.

The flaw carries a CVSS v3 score of 8.6 and Dutch National Cyber Security Centre (NCSC-NL) has classified this as a high-priority threat [1]. This vulnerability grants the attacker the ability to run any command with root-level access on the underlying operating system. Consequently, attackers can perform reconnaissance, steal credentials, collect configuration data, exfiltrate data, ultimately using the compromised system as a way to pivot into further attacks across the infrastructure [3].

 

Risk
We estimate the risk of this vulnerability as High.

Ivanti has confirmed that this vulnerability is being actively exploited in the wild [2]. If successfully exploited, this vulnerability could allow a remote attacker without authentication to execute arbitrary commands and could result in a complete system compromise.

 

Ivanti has released security updates to address this vulnerability [2]. We advise to apply the updates provided in Ivanti’s security advisory as soon as possible:

If immediate patching is not possible, organisations should implement temporary compensating controls and closely monitor their Ivanti Connect Secure systems for signs of compromise.

 

Immediately identify all Ivanti Connect Secure systems in your environment and apply the security updates provided by Ivanti.

Check your vulnerable systems for signs of compromise using the indicators of compromise (IoCs) provided in Volexity's blog [3].

Due to active exploitation and the critical nature of this vulnerability, we recommend treating this as a security incident requiring immediate action.

What will Northwave do?
We will continue to monitor your environment for any suspicious activity related to this vulnerability. We will monitor any developments regarding this vulnerability. If new critical information about this threat arises we will reach out to you. You can call us by phone or send us an email if you would like additional information.

 

Een kritieke zero-day kwetsbaarheid in Ivanti Connect Secure wordt actief uitgebuit door aanvallers [1]. Deze kwetsbaarheid maakt ongeautoriseerde toegang tot uw systemen mogelijk zonder enige inloggegevens, waardoor aanvallers mogelijk volledige controle over getroffen apparaten kunnen krijgen. Ivanti heeft beveiligingsupdates uitgebracht die onmiddellijk moeten worden toegepast om een mogelijke compromittering van systemen te voorkomen.

 

Beschrijving
Ivanti Connect Secure, een VPN-oplossing voor externe toegang, bevat een ernstige beveiligingskwetsbaarheid (CVE-2026-104935). De kwetsbaarheid betreft een omzeiling van authenticatie, waardoor aanvallers willekeurige commando’s op het systeem kunnen uitvoeren zonder eerst te hoeven inloggen. Ivanti heeft bevestigd dat aanvallers deze kwetsbaarheid al actief misbruiken in daadwerkelijke aanvallen voordat patches beschikbaar kwamen [2].

Impact
Wij schatten de impact van deze kwetsbaarheid in als hoog.

De kwetsbaarheid heeft een CVSS v3-score van 8,6 en het Nationaal Cyber Security Centrum (NCSC-NL) heeft deze geclassificeerd als een dreiging met hoge prioriteit [1]. Deze kwetsbaarheid geeft een aanvaller de mogelijkheid om willekeurige commando’s uit te voeren met root-rechten [3]. Hierdoor kunnen aanvallers verkenningen uitvoeren, inloggegevens stelen, configuratiegegevens verzamelen, gegevens exfiltreren en uiteindelijk het gecompromitteerde systeem gebruiken voor verdere aanvallen binnen de infrastructuur.

 

Risico
Wij schatten het risico van deze kwetsbaarheid in als hoog.

Ivanti heeft bevestigd dat deze kwetsbaarheid actief wordt uitgebuit in de praktijk [2]. Bij succesvolle exploitatie kan deze kwetsbaarheid een externe, niet-geauthenticeerde aanvaller in staat stellen willekeurige commando’s uit te voeren, wat kan leiden tot een volledige compromittering van het systeem.

 

Ivanti heeft beveiligingsupdates uitgebracht die deze kwetsbaarheid verhelpen [2]. Pas de updates uit het beveiligingsadvies van Ivanti zo snel mogelijk toe:

Als onmiddellijke patching niet mogelijk is, dienen organisaties tijdelijke compenserende maatregelen te implementeren en hun Ivanti Connect Secure-systemen nauwlettend te monitoren op tekenen van compromittering.

 

Identificeer onmiddellijk alle Ivanti Connect Secure-systemen binnen uw omgeving en pas de door Ivanti beschikbaar gestelde beveiligingsupdates toe.

Controleer uw kwetsbare systemen op tekenen van compromittering met behulp van de indicators of compromise (IoC’s) die zijn gepubliceerd in de blog van Volexity [3].

Vanwege de actieve uitbuiting en de kritieke aard van deze kwetsbaarheid adviseren wij dit te behandelen als een beveiligingsincident dat onmiddellijke actie vereist.

 

Wat doet Northwave?
Wij blijven uw omgeving monitoren op verdachte activiteiten die verband houden met deze kwetsbaarheid. Northwave houdt de ontwikkelingen omtrent deze kwetsbaarheid in de gaten. Als er belangrijke nieuwe informatie omtrent deze dreiging bekend wordt, stellen wij u hiervan op de hoogte. Als u behoefte heeft aan extra informatie zijn we zowel telefonisch als via email bereikbaar.

• 22.7.14 en eerder worden niet beïnvloed. Versie 22.7 bereikt EOL op 31 januari 2027; migratie naar 25.1 wordt aanbevolen vóór die datum.
• 22.8.x: Upgrade naar 25.1.1.2 of hoger. Indien onmiddellijke migratie niet mogelijk is, upgrade dan naar 22.8R2.5. Versie 22.8 bereikt eveneens EOL op 31 januari 2027.
• 25.1.1.1: Upgrade naar 25.1.1.2
• 25.1.3.0 en hoger worden niet beïnvloed.

• Monitor op herhaalde verzoeken naar /dana-na/auth/url_default/welcome.cgi, met name verzoeken die verdachte X-DSCGI-PATH-headers bevatten, zoals:
• /home/webserver/htdocs/dana/fb/smb/wu.cgi
• /home/runtime/tmp/<MD5(filename)>
• Controleer de map /tmp/ op onverwachte bestanden of aanwijzingen van activiteiten na succesvolle exploitatie.