Клиентов Ivanti призывают обновить Connect Secure и проверить свои системы на предмет компрометации после того, как злоумышленники использовали недавно обнаруженную уязвимость нулевого дня.
Во вторник Ivanti выпустила обновления для Connect Secure (ICS) для устранения CVE-2026-104935 — уязвимости обхода аутентификации, обнаруженной Volexity. Оценка 8,6 по шкале CVSS позволяет удаленным неаутентифицированным злоумышленникам выполнять произвольные команды.
«Мы осведомлены об эксплуатации уязвимости в реальных условиях, затрагивающей ограниченное число клиентов на момент раскрытия», — говорится в консультативном документе поставщика.
В настоящее время доступно ограниченное количество индикаторов компрометации, говорится в сообщении. Клиентам рекомендуется обратиться к отчету Volexity с подробным описанием результатов и регулярно запускать инструмент Ivanti Integrity Checker Tool.
Ivanti перечисляет затронутые версии в следующих ветках:
-
25.1.1.1 и более ранние
-
25.1.2.2 и более ранние
-
22.8R2.4 и более ранние
Поставщик заявил, что ранее он выявил «часть этой уязвимости» и исправил ее в июльском обновлении 25.1.3.0, и с тех пор работал над обратным портированием того же исправления. Однако злоумышленники начали использовать ее до завершения этой работы.
Volexity сообщила, что злоумышленники, стоящие за недавними вторжениями, ранее были неизвестны ее исследователям, но теперь отслеживаются как UTA0576.
Volexity подозревает преступный мотив, а не шпионаж. Основываясь на наблюдаемой активности после эксплуатации, злоумышленники, по-видимому, были наиболее заинтересованы в использовании полученного доступа для кражи учетных данных, эксфильтрации данных, подделки журналов и разведки сети.
Примечательно, что злоумышленники не развертывали вредоносное ПО и не выполняли веб-оболочки, используя только доступные им команды на устройстве ICS.
«Поскольку операция была обнаружена и пресечена, конечные цели злоумышленника не могли быть определены», — заявила Volexity.
«Однако Volexity с высокой степенью уверенности оценивает, что действия UTA0576 сигнализировали о подготовке к боковому перемещению и более масштабной компрометации сети жертвы».
Исследователи также подозревают, что злоумышленники использовали большие языковые модели для поддержки своих усилий.
Volexity указала на неоднократное использование злоумышленниками канала эксплойта для выполнения команд вместо развертывания веб-оболочек и их использование «высокоспецифичных скриптов с жестко закодированными учетными данными».
Ivanti раскрыла один CVE, но Volexity описала цепочку атак, включающую три уязвимости. Вторничные обновления устраняют уязвимости обхода аутентификации и удаленного выполнения кода.
Третья уязвимость, позволяющая повысить привилегии, отделена от уязвимостей, охватываемых CVE-2026-104935.
Volexity сообщила, что Ivanti осведомлена о дополнительной ошибке и планирует опубликовать исправление «в ближайшие недели».
Раскрытие уязвимости нулевого дня на этой неделе означает, что Ivanti третий год подряд сталкивается с тем, что злоумышленники используют неуказанные уязвимости в Connect Secure.
Предыдущие уязвимости нулевого дня ICS были раскрыты в январе 2025 года, через год после того, как уязвимости января 2024 года привели к эксплуатации тысяч устройств ICS.
Тем временем мы также видели, как предполагаемые китайские шпионские группы использовали ошибки в Endpoint Manager Mobile (EPMM) и критические уязвимости в Sentry.
Серия январских уязвимостей нулевого дня Ivanti продолжилась в начале этого года, хотя эти уязвимости затронули EPMM, а не Connect Secure. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Connor Jones
