CISA предупредила об эксплуатации цепочки уязвимостей Ivanti Connect Secure

CISA добавило в каталог Known Exploited Vulnerabilities две уязвимости в Ivanti Connect Secure: CVE-2026-111357 с оценкой CVSS 8.8 и CVE-2026-118527 с оценкой 4.3. Их эксплуатировали в цепочке с ранее раскрытой CVE-2026-104935, что позволяло получить выполнение кода с правами root без аутентификации.

Компания Ivanti выпустила исправления для всех звеньев цепочки. Пользователям ветки 25.1.1.2 и более ранних версий следует перейти на 25.1.1.3, а пользователям 22.8R2.5 и более ранних версий — на 22.8R2.6.

Как работала цепочка атак

Volexity впервые описала активное использование цепочки в начале октября. Неизвестная ранее группа UTA0576 сочетала обход аутентификации CVE-2026-104935 с удалённым выполнением кода и повышением привилегий. В результате атакующему не требовалась учётная запись для получения root-доступа к устройству.

CVE-2026-111357 связана с отсутствием аутентификации для критической функции и позволяет локальному аутентифицированному пользователю повышать привилегии. CVE-2026-118527 создаёт предсказуемые числа или идентификаторы: удалённый аутентифицированный пользователь может загружать контролируемые файлы в известное место на диске.

CVE-2026-104935 была внесена CISA в KEV 13 октября 2026 года. Для федеральных гражданских ведомств США установлен срок устранения CVE-2026-111357 до 2 ноября, а CVE-2026-118527 — до 13 ноября 2026 года.

Что искали злоумышленники

По наблюдениям Volexity, UTA0576 не разворачивала на устройствах веб-шеллы или вредоносное ПО, как это часто бывает при эксплуатации подобных ошибок. Вместо этого группа извлекала учётные данные и ограниченный набор метаданных Active Directory, проводила разведку хоста, искала пароли администраторов и ключи восстановления BitLocker.

Контекст угроз расширяет цепочки уязвимостей и атаки с использованием доверенных механизмов, где цепочки уязвимостей и атаки с использованием доверенных механизмов показывают, почему единичного исправления недостаточно для оценки инцидента.

Действия для компаний

Ivanti сообщила, что на момент обнаружения атак исправление для CVE-2026-104935 уже проходило контроль качества. Фрагмент другой уязвимости компания обнаружила в рамках своей программы безопасности и закрыла в июльском выпуске 25.1.3.0, параллельно готовя перенос исправления на поддерживаемые версии.

Организациям стоит установить указанные обновления и проверить Ivanti Connect Secure на следы извлечения учётных данных, разведки и обращений к данным Active Directory. Поскольку целью были административные пароли и ключи BitLocker, необходимо оценить возможную компрометацию доступных через шлюз секретов и ограничить административный доступ к устройству.