Агентство по кибербезопасности и защите инфраструктуры США (CISA) во вторник настоятельно рекомендовало организациям принять меры для немедленного обновления своих устройств и развертываний Ivanti Connect Secure (ICS) до последней версии после раскрытия информации об уязвимости, которая активно эксплуатируется.
Уязвимость безопасности, отслеживаемая как CVE-2026-104935 (оценка CVSS: 8.6), представляет собой обход аутентификации, затрагивающий версии ICS 25.1.1.1 и более ранние, 25.1.2.2 и более ранние, а также 22.8R2.4 и более ранние, что может позволить удаленному неаутентифицированному злоумышленнику выполнять произвольные команды.
«CISA осведомлена о том, что киберзлоумышленники используют эту уязвимость обхода аутентификации нулевого дня, которая позволяет удаленно выполнять произвольные команды без аутентификации, для кражи учетных данных и эксфильтрации данных», — заявило агентство.
С тех пор агентство добавило эту уязвимость в свой каталог известных эксплуатируемых уязвимостей (KEV), требуя от агентств Федеральной гражданской исполнительной власти (FCEB) применить исправления к 16 октября 2026 года.
CISA также рекомендует клиентам затронутых развертываний ICS ознакомиться с руководством Ivanti по обновлению и миграции Connect Secure Upgrade and Migration Compatibility Guide для получения рекомендаций по установке исправлений, предупреждая, что версия 22.8 достигнет конца жизненного цикла 31 января 2027 года.
«Организациям, стремящимся определить, были ли они скомпрометированы, потребуется провести сетевую и потоковую криминалистику для выявления доказательств эксплуатации», — добавило агентство.
В случае обнаружения компрометации CISA советует организациям предпринять следующие действия:
Это развитие событий происходит на фоне того, как Previdian сообщила, что по состоянию на 14 октября 2026 года она зафиксировала 105 попыток эксплуатации, нацеленных на ее сенсоры-ловушки. Попытки атаки исходили от 50 уникальных IP-адресов, геолоцированных в Сингапуре и США. Некоторые из обнаруженных IP-адресов приведены ниже:
По словам основателя и генерального директора Previdian Райана Дьюхерста, злоумышленники используют заголовок X-DSCGI-PATH для доступа к внутреннему обработчику CGI и загрузки скриптов на языке Perl, замаскированных под ZIP-архивы. Скрипты возвращают уникальные маркеры, которые определяют, успешно ли выполнено удаленное выполнение кода.
«Мы наблюдаем скоординированные попытки использовать эту уязвимость Ivanti, но перехваченные полезные нагрузки в основном тестируют выполнение кода, а не развертывают вредоносное ПО или компрометируют устройство, — сказал Дьюхерст The Hacker News. — Однако полное вооруженное использование, вероятно, последует в ближайшие часы и дни».
В отдельном отчете Volexity сообщила, что впервые обнаружила эксплуатацию CVE-2026-104935 3 октября 2026 года, когда ранее не документированный злоумышленник, получивший название UTA0576, использовал ее в сочетании с уязвимостью повышения привилегий для достижения выполнения кода на уровне root без аутентификации. Предполагается, что UTA0576 движим преступными мотивами, а не шпионажем.
Сообщается, что после успешной эксплуатации злоумышленник предпринял широкие действия после эксплуатации, включая извлечение учетных данных, хранящихся на устройстве VPN ICS, эксфильтрацию ограниченных метаданных Active Directory, развертывание инструмента Kerberos, способного выполнять атаки Kerberoast и тестирование учетных данных, проведение разведки хоста, захват пакетов LDAP и загрузку инструмента LDAP на Python для поиска паролей администратора и ключей восстановления BitLocker.
«Обнаруженные полезные нагрузки демонстрируют преднамеренные усилия по сокрытию вредоносной деятельности путем выборочной модификации журналов, удаления временных артефактов выполнения и восстановления измененного состояния системы», — заявили исследователи Volexity Чарли Гарднер, Шон Кессель и Стивен Адир.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
