Ivanti призвала своих клиентов немедленно обновить шлюз удалённого доступа Ivanti Connect Secure после раскрытия уязвимости нулевого дня CVE-2026-104935 — критически опасной уязвимости обхода аутентификации, которая эксплуатируется в реальных атаках. Уязвимость затрагивает версии 22.8R2.4 и более ранние, 25.1.2.2 и более ранние, а также 25.1.1.1 и более ранние.
Уязвимость позволяет неавторизованным атакующим выполнять произвольные команды на целевых устройствах посредством атак низкой сложности, не требующих какого-либо взаимодействия с пользователем. Connect Secure, ранее известная как Pulse Connect Secure, а до этого — Juniper Pulse, используется для предоставления сотрудникам, подрядчикам и гибридным рабочим группам защищённого доступа к корпоративным ресурсам и облачным сервисам.
Многоэтапная эксплуатация
Ivanti заявила, что на момент раскрытия обнаружила ограниченную эксплуатацию уязвимости в интернете, и призвала клиентов изучить бюллетень безопасности, перейти на исправленную версию и регулярно запускать инструмент Integrity Checker. Однако компания Volexity, обнаружившая уязвимость и сообщившая о ней, заявила, что неизвестная группа угроз, которую она отслеживает под обозначением UTA0576, использует её как минимум с 3 октября, связывая её с двумя дополнительными уязвимостями для выполнения кода с правами root без аутентификации, в том числе на полностью обновлённых устройствах.
По данным Volexity, атакующая сторона не устанавливала вредоносное ПО или постоянные веб-шеллы, а повторно эксплуатировала устройство для выполнения каждой команды. Кроме того, она изменяла журналы, чтобы скрыть свои следы, и смогла обойти инструмент Ivanti Integrity Checker. Компания Defused подтвердила, что впервые зафиксировала признаки эксплуатации уязвимости в реальных условиях 1 октября.
Что меняется на практике?
Риск не ограничивается установкой исправления для текущей уязвимости: Ivanti указала, что по-прежнему работает над устранением уязвимости повышения привилегий, использовавшейся в той же цепочке. Поэтому операторам затронутых устройств необходимо полностью следовать бюллетеню безопасности, проверять целостность систем и журналов и не считать успешное прохождение Integrity Checker достаточным доказательством отсутствия компрометации устройства.
Shadowserver отслеживает более 5 500 экземпляров Connect Secure, доступных из интернета, однако информации, позволяющей определить количество устройств, являющихся honeypot или уже защищённых, нет. Это повышает важность выявления доступных извне активов и определения приоритетов их обновления, особенно учитывая, что шлюзы удалённого доступа находятся на границе между интернетом и корпоративными сетями.
Повторяющийся контекст для целевого продукта
За последние годы Ivanti исправила несколько уязвимостей нулевого дня в Connect Secure, которые использовались в атаках, включая CVE-2023-46805 и CVE-2024-21887 в январе 2024 года, CVE-2024-21893 позднее в том же месяце, а также уязвимости удалённого выполнения кода CVE-2025-0282 и CVE-2025-22457 в 2025 году. Кроме того, Агентство США по кибербезопасности и безопасности инфраструктуры CISA насчитало 36 уязвимостей в продуктах Ivanti, которые активно эксплуатировались с ноября 2021 года; 12 из них использовались вымогательскими группировками.
Анализ certi.news: фактическое изменение здесь заключается в переходе уязвимости обхода аутентификации от этапа раскрытия к практической эксплуатации, предоставляющей атакующему возможность выполнять команды с повышенными привилегиями, при наличии признаков методов, помогающих обходить инструменты проверки. Масштаб эксплуатации и количество фактически взломанных устройств пока остаются неясными, поэтому обновление и криминалистическая проверка затронутых систем — это параллельные шаги, один из которых не может заменить другой.