Isinudagdag ng CISA ang Dalawang Ivanti VPN Flaws sa Pinagsasamantalahang-Vulnerabilities Catalog bilang Federal Deadline para sa mga Mapanganib na mga Lupaing Bug Ngayon
Ang Cybersecurity and Infrastructure Security Agency (CISA) ay nag-apruba ng seguridad nito noong Oktubre 30 upang magdagdag ng dalawang vulnerability sa Ivanti Connecture trail VPN Instrument, CVE-2026-111357 at CVE-2026-118527, sa kilala nitong Exploited Vulnerabilities (KEV) Catalog — at ang deadasyong itinakda nito ang pederal na mga ahensiyang sibilyan para sa kritikal sa ngayon, Nobyembre 2. Ang Ivanti Connect security ay malawakang ginagamit ng mga kompanya at mga ahensiya ng pamahalaan para sa malayong pag - aaccess, at sinasabi ng CISA na ang mga artistang nagbabanta ng panganib ay aktibong nagsasamantala sa mga kapintasan.
Ayon sa pagiging alisto ng CISA, ang tatlong depektong kadenang kadenang sama-sama: kasama ang CVE-2026-104935, na idinagdag sa katalogo noong Oktubre 13, pinapayagan nila ang isang malayo, walang-akdang sumasalakay na magsagawa ng mga utos na di-opisyal, magnakaw ng mga kredensiyal at mga impormasyong eksistensiyal. Ang apektadong mga bersiyon ay nag - uugnay ng seguridad 25.1.1 at bago nito, 25.1.2.2 at bago nito, at 22.8R2.5 at bago nito. Ang kompanyang panseguridad na Volexity ay nagsasabi na ang isang aktor na ito ay nagreresulta habang ginagamit ng UTA0576 ang kadena mula pa noong unang bahagi ng Oktubre, sa isang kaso ay humahantong sa isang ganap na naayos na kagamitan, nakakakuha ng root access at diretso para sa aktibong mga kredensiyal ng Directory.
Sa dalawang bagong nakatalang depekto, ang CVE-2026-111357 ay isang nawawalang-ahenetikong isyu na rated CVS 8.8 na nagpapahintulot sa isang lokal na mapagkakatiwalaang sumasalakay na umaabot sa ugat; ang federal na deadline nito ay Nobyembre 2. CVE-2026-118527, isang propesiyadong-identifier na isyu na rated CVS 4.3, ay pinapayagan ang isang remote na mapagkakatiwalaang sumasalakay upload files sa isang alam na lokasyon sa disk; ang deadline nito ay Nobyembre 13. Inilabas ni Ivanti ang mga nakapirmeng gusali na 22.8R2.6 at 25.1.1.3 noong Oktubre 29.
Hinihimok ng CISA ang bawat organisasyon na nagpapatakbo ng apektadong mga kagamitan na mag - update agad sa pinakabagong bersiyon. Ito ay nagbabala rin na ang Integridad Checker Tool ni Ivanti ay maaaring hindi makahalata ng pagsasamantala ng CVE-2026-104935 dahil ang mga utos ng sumasalakay ay isinasagawa sa memorya; mga organisasyon na naghihinala sa isang kompromiso ay nangangailangan ng network at memory forensics at dapat sumunod sa mga pamamaraan ni Ivanti sa pagbawi, resetting account passwords, sertipiko at keys. Binanggit din ng CISA na ang connect securityless version 22.8 ay umaabot sa dulo ng buhay noong Enero 31, 2027.
Source: GSM · United States (Edisyong Ingles · Orihinal na edisyong Tsino)
Larawan: 美国国土安全部总部（圣伊丽莎白园区）航拍。照片：Michael Hvozda／美国海岸警卫队，公共领域，经 Wikimedia Commons。
