Компания Ivanti выпустила экстренные обновления безопасности для устранения двух новых уязвимостей «нулевого дня» (Zero-day) в шлюзах удаленного доступа (Connect Secure - ICS) после того, как было выявлено их использование в цепочках атак, начавшихся в начале октября 2026 года. Этот шаг является частью усилий компании по закрытию уязвимостей, которые злоумышленники использовали для получения глубокого уровня контроля над корпоративными сетями.
Детали уязвимостей и механизм цепочки атак
Первая уязвимость, имеющая идентификатор CVE-2026-111357, представляет собой критический дефект, позволяющий повысить привилегии (Privilege Escalation), в то время как вторая уязвимость CVE-2026-118527 позволяет аутентифицированным злоумышленникам загружать вредоносные файлы на необновленные устройства. Злоумышленники связали эти две уязвимости с третьей, связанной с обходом аутентификации (CVE-2026-104935), для которой Ivanti выпустила исправление в прошлом месяце.
Компания пояснила, что изначально решила сосредоточиться на устранении уязвимости обхода аутентификации, так как она представляла собой основной вектор атаки, прежде чем позже обнаружила, что злоумышленники используют другие уязвимости для закрепления в системах. Ivanti подтвердила, что эта цепочка позволила злоумышленникам выполнять программный код на уровне «корневой системы» (Root-level) даже на тех устройствах, которые, как полагали организации, были полностью защищены.
Поведение злоумышленников и методы скрытности
Компания по кибербезопасности Volexity, обнаружившая эти атаки, сообщила, что за этими операциями стоит хакерская группировка, известная как UTA0576. Особенность этой атаки заключается в том, что злоумышленники не полагались на внедрение традиционного вредоносного ПО или веб-оболочек (Web Shells), а повторно использовали уязвимость при каждой выполняемой команде, манипулируя системными журналами, чтобы замести следы и избежать обнаружения инструментами проверки целостности Ivanti.
Компания по анализу угроз безопасности Defused также подтвердила эти выводы, отметив, что первые признаки активной эксплуатации появились 1 октября, что отражает скорость реагирования злоумышленников на недавно обнаруженные уязвимости в критически важной инфраструктуре.
Официальные предупреждения и глобальное распространение
Учитывая серьезность ситуации, Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило основную уязвимость в каталог эксплуатируемых уязвимостей и приказало федеральным агентствам немедленно обновить свои системы. Данные мониторинга Shadowserver указывают на наличие более 5000 устройств ICS, доступных через Интернет, и до сих пор неясно, сколько из них было фактически защищено на данный момент.
Почему эта новость имеет критическое значение?
Шлюзы удаленного доступа Ivanti являются излюбленной целью групп кибершпионажа, особенно тех, которые связаны с государствами, поскольку они обеспечивают прямой доступ к сетям крупных компаний для кражи конфиденциальных данных. Практическое изменение здесь заключается в том, что злоумышленники стали более способны скрываться с помощью «бесфайловых атак» (Fileless attacks), что делает использование традиционных инструментов сканирования недостаточным. Системные администраторы должны не только устанавливать обновления, но и проверять журналы доступа на предмет любой нетипичной активности, начиная с начала октября, поскольку обновление устраняет уязвимость, но не вытесняет злоумышленника, который уже успешно проник в систему и закрепился в ней другими способами.