Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Ivanti Connect Secure opravuje aktivně zneužívanou zranitelnost

Ivanti verzemi 25.1.1.2, 25.1.3.0, 25.1.3.1 a 22.8R2.5 opravuje aktivně zneužívanou zranitelnost v produktu Ivanti Connect Secure [1].

Ivanti Connect Secure - RCE (CVE-2026-104935)
CVSS 8.6 (High)

Neautentizovanému vzdálenému útočníkovi je v důsledku nesouladu mezi URL použitým k autorizaci a skutečným cílem požadavku v kombinaci s race condition mezi provedením a odstraněním nahraného skriptu umožněno provést libovolný kód s právy "cgi-server" [1][2]. Tuto zranitelnost lze zřetězit s další zranitelností a zvýšit tak svá oprávnění z "cgi-server" na root, přičemž na tuto zranitelnost zatím neexistuje oprava [2]. Ivanti i CISA upozorňují na aktivní zneužívání zranitelnosti [1][3]. Podrobnosti lze nalézt na [2].

Zranitelnost se nachází v produktu:

  • Ivanti Connect Secure; >=25.1.1.0, <25.1.1.2; >=25.1.2.0, <25.1.3.0; >=22.8R2.0, <22.8.R2.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L

Více informací:

Zranitelnost byla veřejně oznámena 13. 10. 2026.

Za CESNET, z.s.p.o. Martin Krajči dne 15. 10. 2026.

CESNET, z.s.p.o. Logo