Злоумышленник использовал три уязвимости нулевого дня в VPN-устройстве Ivanti Connect Secure, чтобы выполнять команды с правами root без входа в систему, сообщила 13 октября компания Volexity. Ivanti выпустила исправления для двух уязвимостей и рекомендовала клиентам на затронутых версиях «немедленно принять меры». Исправление для третьей уязвимости пока ожидается, по данным Volexity.
Volexity, сообщившая об уязвимостях компании Ivanti, обнаружила атаку на устройство одного из клиентов. Устройство было полностью обновлено на тот момент и работало под управлением версии 22.8R2.4. Злоумышленник, которого Volexity отслеживает как UTA0576, начал использовать уязвимость 3 октября.
Ivanti сообщила 13 октября, что ей известно об «ограниченном использовании уязвимости в реальных условиях».
Первые две уязвимости — обход аутентификации и удаленное выполнение кода — отслеживаются вместе как CVE-2026-104935. Вместе они позволяют злоумышленнику выполнять код от имени пользователя cgi-server устройства, а третья уязвимость, повышение привилегий, повышает их до уровня root, сообщила Volexity.
Запись CVE, поданная Ivanti, показывает, какие версии Connect Secure затронуты:
В консультативном уведомлении по безопасности Ivanti содержится дополнительная информация о затронутых версиях и исправлениях.
Примечания к выпуску 25.1.3.0 датированы июлем 2026 года. Клиенты, уже использующие эту версию, находятся вне диапазона, указанного в записи CVE.
Ivanti работает над исправлением уязвимости повышения привилегий, которое появится «в будущем выпуске в ближайшие недели», сообщила Volexity. В ее отчете не указан риск, который несет эта уязвимость на устройстве, где исправлены первые две.
Ivanti рекомендует клиентам обновить ПО и регулярно запускать инструмент Integrity Checker Tool. Volexity заявила, что этот инструмент пропускает данную цепочку атак, поскольку эксплойт изменяет код библиотеки только в памяти и восстанавливает измененные данные конфигурации. Злоумышленник также предпринял шаги, чтобы остаться незамеченным для этого инструмента.
Подтверждение компрометации требует криминалистического расследования, включая сетевую криминалистику и криминалистику памяти, по данным Volexity. Эти признаки исходят из одного расследованного инцидента:
В этом инциденте злоумышленник украл сохраненные учетные данные, включая учетные данные домена LDAP, искал пароли в Active Directory и проводил атаки методом перебора паролей против учетных записей. Бэкдоров или веб-оболочек оставлено не было. Злоумышленник повторно запускал всю цепочку эксплойтов для каждой команды.
В отчете Volexity и сообщении Ivanti не указаны временные обходные пути для клиентов, которые пока не могут обновить ПО. Также не сообщается, удаляет ли обновление доступ, полученный злоумышленником.
Volexity с низкой степенью уверенности оценила мотив UTA0576 как преступный, а не шпионский. Ни одна из компаний не сообщила, сколько клиентов подверглось атаке.
Ivanti оценивает CVE-2026-104935 в 8,6 из 10 по шкале серьезности CVSS. В своей записи в реестре CVE Агентство по кибербезопасности и защите инфраструктуры США (CISA) отмечает эксплуатацию как «активную», а техническое воздействие — как «полное».
Отдельно в том же сообщении Ivanti освещаются исправления для двух других продуктов, Xtraction и Neurons Patch for Intune, и Ivanti заявила, что ей не известно об использовании этих уязвимостей. Каждая из них имеет уязвимость, которую Ivanti оценивает в 9,9 из 10: CVE-2026-106042 в Xtraction до версии 2026.4 и CVE-2026-109412 в Neurons Patch for Intune.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
