Kyberturvallisuuskeskus varoittaa – Ivanti Connect Secure -haavoittuvuutta käytetään aktiivisesti hyväksi
Hyökkäykset alkoivat noin kymmenen päivää ennen korjausta, eikä kirjautumista enää tarvita järjestelmän valtaamiseen.
Tiivistelmä
Kyberturvallisuuskeskus varoitti tuoreessa haavoittuvuustiedotteessaan Ivanti Connect Secure -VPN-tuotteen vakavasta haavoittuvuudesta, jota hyödynnetään jo aktiivisesti. Haavoittuvuus yhdistää tunnistuksen ohituksen etäkäytön komentojen ajamiseen täysin ilman käyttäjätunnuksia. Ivanti on julkaisemassa korjaukset, ja viranomainen kehottaa päivittämään järjestelmät välittömästi sekä tarkistamaan mahdollisen aiemman murron.
Hyökkääjä ei tarvitse käyttäjätunnusta eikä salasanaa päästäkseen sisään Ivanti Connect Secure -VPN-järjestelmään. Riittää, että laite on päivittämättä.
Ivanti Connect Secure on yritysten ja julkishallinnon etäyhteyksien VPN-tuote, ei kuluttajasovellus. Päätös päivityksestä on käytännössä aina yrityksen oman IT-vastaavan pöydällä.
Kyberturvallisuuskeskus julkaisi 13. lokakuuta haavoittuvuustiedotteen 35/2026 vakavasta Ivanti Connect Secure -tuotteen puutteesta, jota merkitään tunnuksella CVE-2026-104935. Haavoittuvuuden CVSS-pisteet ovat 8,6, ja viranomainen vahvistaa, että sitä käytetään jo hyväksi.
"Ivanti on vahvistanut, että haavoittuvuutta on käytetty hyväksi", Kyberturvallisuuskeskus toteaa tiedotteessaan.
Haavoittuvuus koskee Ivanti Connect Secure -versioita 22.8R2.4 ja sitä vanhempia, 25.1.1.1 ja sitä vanhempia sekä 25.1.2.2 ja sitä vanhempia. 22.7-haara, versioon 22.7R2.14 asti, ei ole haavoittuvainen.
Tunnistuksen ohitushaavoittuvuus (auth bypass)
Tämä puute antaa hyökkääjän sisään VPN-järjestelmään ilman kelvollista käyttäjätunnusta tai salasanaa, ja sen jälkeen ajaa siinä komentoja. Kyse on digitaalisesta vastineesta lukolle, joka avautuu kenelle tahansa, kun kahvaa väännetään oikealla tavalla.
Haavoittuvuus syntyy kolmen yhdistetyn virheen ketjusta. Tietoturvayhtiö Volexity kuvailee tiedotteessaan, kuinka tunnistuksen ohittava huijausvirhe, wu.cgi-tiedostossa piilevä kilpailutilanteeseen perustuva etäkäytön komentovirhe ja järjestelmän sisäisten osien välistä luottamusta väärinkäyttävä oikeuksien korotus toimivat yhdessä. Vain yhdistetty ongelma kantaa tunnusta CVE-2026-104935.
Onnistunut hyökkäysketju antaa tunkeutujalle täydet komentoyhteydet VPN-laitteeseen, josta on tyypillisesti suora reitti organisaation sisäverkkoon.
Volexityn havaintojen mukaan hyökkäykset alkoivat noin 3. lokakuuta, ja yhtiö havaitsi ne 5. lokakuuta. Ivantin korjaus ja julkinen tiedottaminen, mukaan lukien Kyberturvallisuuskeskuksen tiedote, tulivat vasta 13. lokakuuta.
Ensimmäisten hyökkäysten ja korjauksen julkaisun välillä kului noin kymmenen päivää, jonka aikana järjestelmä oli avoin kenelle tahansa haavoittuvuuden tunteneelle.
Volexity liittää toiminnan aiemmin tunnistamattomaan ryhmään, jota se kutsuu nimellä UTA0576. Yhtiö arvioi heikolla luottamuksella, että kyse on rikollisesta eikä valtiollisesta vakoilutoiminnasta.
Ryhmä on tavoitellut Active Directory -tunnuksia, LAPS-salasanoja ja BitLocker-palautusavaimia sen sijaan, että se olisi jättänyt järjestelmiin pysyviä verkkokuoria.
Näillä tunnuksilla hyökkääjä pääsee tyypillisesti liikkumaan organisaation verkossa laajasti ja avaamaan kiintolevyjen salauksen ilman alkuperäistä käyttäjää.
Yhdysvaltain CISA lisäsi haavoittuvuuden tunnettujen hyväksikäytettyjen haavoittuvuuksien luetteloonsa samana päivänä kuin tiedotteet julkaistiin. Virastolle asetettu korjausaikaraja liittovaltion järjestelmille on 16. lokakuuta, mikä kertoo uhan vakavuudesta myös Yhdysvaltain viranomaisten arviossa.
Suomalaista uhria ei tutkimuksessa löytynyt. Kyberturvallisuuskeskuksen varoitus koskee tuotetta, joka on käytössä myös suomalaisissa organisaatioissa, ei vahvistettua kotimaista kohdetta.
Pienemmässä organisaatiossa, jossa ei ole omaa tietoturvatiimiä, päivitystä ei kannata jättää seuraavaan huoltoikkunaan. Kymmenen päivän tauko hyökkäysten alun ja korjauksen julkaisun välillä riittää hyökkääjälle, joka tietää, mitä etsiä.
Mitä tehdä
Tarkista ensin käytössä oleva versio ja päivitä Ivanti Connect Secure välittömästi versioon 22.8R2.5, 25.1.1.2, 25.1.3.0 tai 25.1.3.1.
Aja laitteelle Ivantin Integrity Checker Tool (ICT) -tarkistus mahdollisen aiemman murron varalta, myös silloin, kun järjestelmä on jo päivitetty.
Jos työkalu löytää merkkejä murrosta, käsittele Active Directory -tunnukset, LAPS-salasanat ja BitLocker-palautusavaimet vaarantuneina ja vaihda ne.
Ilmoita havaituista poikkeamista Kyberturvallisuuskeskuksen CERT-toiminnolle osoitteessa [email protected], verkkolomakkeella kyberturvallisuuskeskus.fi/fi/ilmoita tai puhelimitse numerossa +358 295 345 000.
Lähteet
- Kyberturvallisuuskeskus (13.10.2026)
- Volexity (13.10.2026)
- CISA