CISA потребовало срочно обновить Ivanti Connect Secure из-за атак
Агентство по кибербезопасности и защите инфраструктуры США CISA призвало организации немедленно обновить шлюзы Ivanti Connect Secure после раскрытия активно эксплуатируемой уязвимости CVE-2026-104935 с оценкой CVSS 8,6. Компания Previdian к 14 октября зафиксировала 105 попыток эксплуатации на своих сенсорах-ловушках.
Ошибка представляет собой обход аутентификации и позволяет удалённому неавторизованному атакующему выполнять произвольные команды. Риску подвержены версии ICS 25.1.1.1 и более ранние, 25.1.2.2 и более ранние, а также 22.8R2.4 и более ранние.
Уязвимость уже используют в атаках
CISA включило CVE-2026-104935 в каталог Known Exploited Vulnerabilities. Агентство сообщило, что злоумышленники применяют zero-day для кражи учётных данных и эксфильтрации данных. Федеральным гражданским ведомствам исполнительной власти США предписано устранить проблему до 16 октября 2026 года.
По наблюдениям Previdian, обращения к ловушкам поступали с 50 уникальных IP-адресов, геолокированных в Сингапуре и США. Основатель и генеральный директор компании Райан Дьюхерст рассказал, что атакующие используют заголовок X-DSCGI-PATH, чтобы обратиться к внутреннему CGI-обработчику и загрузить Perl-скрипты под видом ZIP-файлов. Скрипты возвращают уникальные маркеры, по которым проверяется успешность удалённого выполнения кода.
На момент наблюдений захваченные полезные нагрузки в основном проверяли возможность выполнения кода, а не устанавливали вредоносное ПО и не компрометировали устройство. Однако это не отменяет риска: CISA указывает на реальные случаи кражи данных и учётных записей.
Что обнаружила Volexity
Volexity впервые заметила эксплуатацию CVE-2026-104935 3 октября 2026 года. Неизвестный ранее актор UTA0576 сочетал её с уязвимостью повышения привилегий, получая возможность выполнять код с правами root без аутентификации. Исследователи считают мотив группы криминальным, а не шпионским.
После проникновения UTA0576 извлекала учётные данные с VPN-устройства ICS, выводила ограниченный объём метаданных Active Directory, разворачивала инструмент Kerberos для Kerberoast-атак и проверки учётных данных. Также группа проводила разведку хоста, перехватывала LDAP-пакеты и размещала Python-инструмент для поиска паролей администраторов и ключей восстановления BitLocker.
Исследователи Volexity также обнаружили признаки сокрытия активности: выборочное изменение журналов, удаление временных артефактов выполнения и восстановление изменённого состояния системы. Поэтому проверка только логов может не дать полной картины инцидента.
Действия после обновления
CISA рекомендует свериться с руководством Ivanti по обновлению и миграции Connect Secure. Версия 22.8 достигнет окончания жизненного цикла 31 января 2027 года. Для поиска следов компрометации агентство советует проводить сетевую и оперативную криминалистику.
Если взлом подтверждён, CISA предлагает сначала сохранить резервную копию конфигурации, затем выполнить заводской сброс и обновить устройство до актуальной версии. Облачные и виртуальные развёртывания следует пересобрать и также обновить, после чего восстановить конфигурацию из созданной резервной копии.
Дополнительно необходимо сменить пароли всех учётных записей, включая доменные, административные и локальные, отозвать и перевыпустить сохранённые сертификаты, а также сбросить API-ключи и учётные данные сервера лицензий. Для бизнеса практический вывод прост: доступные из сети шлюзы Ivanti Connect Secure нужно срочно обновить и рассматривать как возможную точку компрометации до завершения проверки.