На 13 октомври Ivanti публикува бюлетин за CVE-2026-104935: заобикаляне на автентикацията в Connect Secure, което дава отдалечено изпълнение на команди без вход. По данни на Ivanti част от дупката е закърпена още през юли, но само във версия 25.1.3.0. В същия ден CISA вписа в каталога на атакуваните и дупка в Windows Shell, със срок 16 октомври за гражданските федерални агенции в САЩ.
- 13 октомври 2026: Ivanti публикува бюлетин за CVE-2026-104935 в Connect Secure. Отдалечен нападател без вход може да изпълни произволни команди. Оценка 8.6 (High) по CVSS; Ivanti знае за експлоатация, засягаща ограничен брой клиенти.
- Засегнати са 25.1.1.1 и по-стари, 25.1.2.2 и по-стари и 22.8R2.4 и по-стари. Поправките са 25.1.1.2, 25.1.3.0, 25.1.3.1 и 22.8R2.5. Част от дупката Ivanti е закърпила още през юли във версия 25.1.3.0.
- Същия ден CISA вписа в каталога KEV и CVE-2026-96951 в Windows Shell (инжектиране на команда, оценка 8.8 от Microsoft). И двете имат срок 16 октомври за гражданските федерални агенции. За Windows няма текст на Microsoft сред проверените източници; описанието е от NVD.
Версия 25.1.3.0 на Ivanti Connect Secure е излязла през юли и не съдържа дупката от тази седмица. Само че иска новата платформа на Ivanti. Проблемът е за всички, които още работят на друго.
Ivanti го признава в бюлетина си без заобикалки. Компанията пише, че част от дупката е открила сама, в програмата си за сигурност на продуктите, и я е закърпила в юлското издание. Поправката за останалите поддържани версии още се пренасяла, когато станала експлоатацията. Колко клиенти са засегнати, не пише, освен че са ограничен брой. Кой атакува, също.
Датите в бюлетина показват как е вървяло пренасянето на поправката. 25.1.1.2 е от 5 октомври, 22.8R2.5 - от 12 октомври. Бюлетинът е от 13-и.
Windows е по-тихата половина на деня. Засегнати са версиите от Windows 10 и Windows Server 2012 R2 до Windows 11 26H2 и Server 2025, а във вектора на Microsoft пише, че се иска действие от потребителя. Бюлетина на Microsoft не успях да отворя. Затова за Windows знаем две неща: какво казва NVD и че CISA вписа дупката като експлоатирана. Как се експлоатира и от кого, в проверените източници не пише.
На Connect Secure първо е версията. На старата платформа поправката е 25.1.1.2, а на 22.8, ако не можеш веднага да минеш на 25.1, и 22.8R2.5. Линията 22.8 и без това стига края си на 31 януари 2027 и Ivanti иска миграцията към 25.1 да е готова дотогава. Версията обаче не казва дали някой вече е бил вътре. За това Ivanti дава Integrity Checker Tool и съветва да се пуска редовно: признаците за пробив засега са малко.