Три zero-day в Ivanti Connect Secure позволили получить root-доступ
Компания Volexity выявила эксплуатацию цепочки из трёх ранее неизвестных уязвимостей в VPN-шлюзе Ivanti Connect Secure. Атакующий получал возможность выполнять команды с правами root без аутентификации. Ivanti выпустила исправления для двух проблем, объединённых идентификатором CVE-2026-104935 с оценкой 8,6 балла по CVSS, а патч для третьей уязвимости повышения привилегий пока находится в разработке.
Инцидент произошёл у одного из клиентов Volexity: на момент атаки устройство было полностью обновлено и работало на версии 22.8R2.4. Исследователи отслеживают оператора под обозначением UTA0576; эксплуатация началась 3 октября. 13 октября Ivanti сообщила об ограниченной эксплуатации уязвимостей в реальных атаках.
Как работает цепочка
Первые две уязвимости позволяют обойти аутентификацию и удалённо выполнить код от имени пользователя cgi-server. Третья ошибка повышает полученные права до root. По информации Volexity, злоумышленник повторно запускал всю цепочку для каждой команды и не оставил на устройстве ни веб-шелла, ни постоянного бэкдора.
В CVE-записи указано, что затронуты версии Connect Secure до 25.1.3.0. Версия 22.7R2.14 и более ранние обозначены как незатронутые, как и 22.8R2.5, 25.1.3.0 и 25.1.3.1. Организациям следует сверить свою редакцию с бюллетенем Ivanti: в нём приведены сведения о поддерживаемых версиях и доступных исправлениях.
Почему штатной проверки недостаточно
Ivanti рекомендует обновить продукт и регулярно запускать Integrity Checker Tool. Однако Volexity отмечает, что этот инструмент не обнаруживает описанную цепочку: эксплойт меняет библиотечный код только в памяти и восстанавливает затронутые конфигурационные данные. Исследователи также зафиксировали попытки скрыть следы от штатной проверки.
Подтверждение компрометации требует сетевой и memory-форензики. В единственном расследованном случае признаками стали массовые запросы к пути /dana-na/auth/url_default/welcome.cgi, заголовок X-DSCGI-PATH со значением, не совпадающим с URL, каталог /data/.icscap/ и адрес 108.165.147[.]64.
Последствия для организаций
В атаке были похищены сохранённые учётные данные, включая доменные LDAP-реквизиты. Оператор также искал пароли в Active Directory и запускал password spraying против учётных записей организации. Ни Ivanti, ни Volexity не сообщили, удаляет ли обновление уже полученный злоумышленником доступ, и не назвали временных мер для тех, кто не может обновиться.
Для бизнеса приоритетом остаётся немедленная установка доступных обновлений Connect Secure и отдельная проверка устройств на признаки вторжения. Результат Integrity Checker Tool нельзя считать достаточным подтверждением отсутствия компрометации: при наличии индикаторов потребуется полноценное расследование сетевой активности и памяти.