Злоумышленник создал три цепочки уязвимостей нулевого дня для Ivanti Connect, обеспечивающих доступ с правами root, пока исправлены только две.

[admin]

что злоумышленник использовал три уязвимости нулевого дня в VPN-приложении Ivanti Connect Secure для выполнения команд от имени root без входа в систему. 13 октября компания Volexity сообщила о том, Ivanti выпустила исправления для двух из этих уязвимостей и призвала пользователей затронутых версий «действовать немедленно». По данным Volexity, исправление для третьей уязвимости пока не выпущено.


Компания Volexity, сообщившая об уязвимостях компании Ivanti, обнаружила атаку на устройстве одного из клиентов. На тот момент устройство было полностью обновлено и работало под управлением версии 22.8R2.4. Злоумышленник, которого Volexity отслеживает под номером UTA0576, начал использовать уязвимость 3 октября.


Компания Ivanti 13 октября заявила , что ей известно о «незначительной эксплуатации в дикой природе».


Первые две уязвимости — это обход аутентификации и уязвимость удаленного выполнения кода, отслеживаемые вместе как CVE-2026-104935 . Вместе они позволяют злоумышленнику запускать код от имени пользователя cgi-сервера устройства, а третья уязвимость, повышение привилегий, повышает эти привилегии до уровня root, сообщила компания Volexity.

В записи CVE, поданной компанией Ivanti, указано, какие версии Connect Secure затронуты:

• Затронутые проблемы: Connect Secure "до версии 25.1.3.0"
• Не затронуто: версия 22.7R2.14 «или более ранние»
• Не затронуты следующие версии: 22.8R2.5, 25.1.3.0 и 25.1.3.1

от Ivanti В уведомлении о безопасности содержится более подробная информация о затронутых версиях и исправлениях.


В примечаниях к выпуску версии 25.1.3.0 указана дата: июль 2026 года. Пользователи, уже использующие эту версию, находятся за пределами диапазона, указанного в записи CVE.


Компания Ivanti работает над исправлением уязвимости, приводящей к повышению привилегий, которое будет включено в один из будущих релизов в ближайшие недели, сообщила компания Volexity. В её отчёте не говорится, какой риск эта уязвимость несёт на устройстве, где первые две уже исправлены.


Компания Ivanti рекомендует клиентам обновить программное обеспечение и регулярно запускать инструмент проверки целостности (Integrity Checker Tool). По словам представителей Volexity, этот инструмент не обнаруживает подобную цепочку уязвимостей, поскольку эксплойт изменяет код библиотеки только в памяти и восстанавливает измененные данные конфигурации. Злоумышленник также предпринял шаги, чтобы остаться незамеченным для этого инструмента.


По данным Volexity, для подтверждения взлома требуется криминалистическое расследование, включая анализ сети и памяти. Эти признаки получены в ходе расследования одного из инцидентов:

• URL-адрес: /dana-na/auth/url_default/welcome.cgi, запрашивается в большом количестве.
• В таких запросах HTTP-заголовок: X-DSCGI-PATH со значением, не соответствующим пути в URL-адресе.
• Каталог: /data/.icscap/
• IP-адрес: 108.165.147[.]64, хост, использованный злоумышленником.

В ходе этого инцидента злоумышленник похитил сохраненные учетные данные, включая учетные данные домена LDAP, выполнил поиск паролей в Active Directory и провел атаки методом перебора паролей против своих учетных записей. Никаких бэкдоров или веб-оболочек не осталось. Злоумышленник повторно запустил всю цепочку эксплойтов для каждой команды.

В отчете Volexity и сообщении Ivanti не указано временное решение для клиентов, которые пока не могут обновиться. Также не говорится, удаляет ли обновление доступ, уже полученный злоумышленником.


Компания Volexity с низкой степенью уверенности оценила мотивы UTA0576 как преступные, а не шпионские. Ни одна из компаний не сообщила, сколько клиентов подверглось нападению.


Компания Ivanti оценила уязвимость CVE-2026-104935 на 8,6 из 10 по шкале серьезности CVSS. В своей собственной записи в реестре CVE Агентство по кибербезопасности и защите инфраструктуры США (CISA) отмечает эксплуатацию как «активную», а техническое воздействие как «полное».


Отдельно в том же сообщении Ivanti описываются исправления для двух других продуктов, Xtraction и Neurons Patch for Intune, и Ivanti заявила, что ей неизвестно об использовании этих уязвимостей. В каждом из них обнаружена уязвимость, которую Ivanti оценивает в 9,9 из 10: CVE-2026-106042 в Xtraction до версии 2026.4 и CVE-2026-109412 в Neurons Patch for Intune.

Источник