Агентство США по кибербезопасности и безопасности инфраструктуры (CISA) призвало службы безопасности немедленно обновить устройства Ivanti Connect Secure после подтверждения эксплуатации уязвимости обхода аутентификации в атаках нулевого дня как минимум с 1 октября.
Уязвимость, зарегистрированная под идентификатором CVE-2026-104935, классифицируется как имеющая высокий уровень опасности и позволяет удалённым злоумышленникам без привилегий выполнять произвольные команды в целевых системах. Для атак не требуется взаимодействие с пользователем, что повышает опасность для устройств, открытых в интернете.
Обновления Ivanti и выявленная эксплуатация
Во вторник Ivanti выпустила версии 22.8R2.5, 25.1.3.0, 25.1.3.1 и 25.1.1.2 для устранения уязвимости и призвала клиентов немедленно принять меры, отметив наличие ограниченной эксплуатации в реальных условиях.
Компания Volexity заявила, что неизвестная угроза, которую она отслеживает под названием UTA0576, как минимум с 3 октября начала объединять эту уязвимость с двумя другими уязвимостями для реализации цепочки атаки, сочетающей обход аутентификации, удалённое выполнение команд и повышение привилегий, вплоть до выполнения команд с правами root без аутентификации.
По данным Volexity, в ходе действий после взлома злоумышленники нацеливались на учётные данные и секреты Active Directory, включая пароли Local Administrator Password Solution (LAPS) и ключи восстановления BitLocker. Компания Defused также подтвердила обнаружение признаков эксплуатации уязвимости в реальных условиях с 1 октября.
Почему это важно?
Shadowserver отслеживает более 5 600 узлов, открытых в интернете и имеющих признаки Ivanti Connect Secure, однако это число не показывает, сколько из них защищено или относится к средам-ловушкам. Поэтому одной установки обновления недостаточно, чтобы доказать отсутствие взлома, особенно поскольку команды злоумышленников могут выполняться в памяти.
CISA добавила уязвимость в список фактически эксплуатируемых уязвимостей и обязала федеральные гражданские ведомства защитить свои сети к пятнице в соответствии с обязательной оперативной директивой BOD 26-04. Агентство также направило отдельное предупреждение всем службам безопасности и сетевым администраторам с требованием обновить системы и проверить признаки компрометации.
Что делать при подозрении на взлом?
CISA предупреждает, что не следует полагаться только на инструмент Integrity Checker Tool от Ivanti, поскольку он может не обнаружить следы эксплуатации CVE-2026-104935, когда команды выполняются в памяти. Агентство рекомендует провести криминалистический анализ сети и памяти, а после подтверждения взлома выполнить следующие действия:
- Создать резервную копию конфигурации устройства.
- Выполнить сброс до заводских настроек и установить последнюю версию; облачные и виртуальные системы следует перестроить и обновить.
- Восстановить конфигурацию из резервной копии.
- Изменить пароли всех учётных записей, включая доменные, административные и локальные учётные записи.
- Отозвать сохранённые сертификаты и перевыпустить их, а также сбросить ключи API и учётные данные сервера лицензирования.
Этот инцидент стал частью серии уязвимостей Ivanti Connect Secure, которые в последние годы эксплуатировались в реальных атаках. С ноября 2021 года CISA внесла 36 уязвимостей, связанных с Ivanti, в список фактически эксплуатируемых уязвимостей; 12 из них также использовались в атаках с применением программ-вымогателей.