13 октября Ivanti сообщила об уязвимости в корпоративных VPN-шлюзах Connect Secure. Компания подтвердила ограниченное число атак и призвала клиентов немедленно обновить устройства.
Уязвимость CVE-2026-104935 объединяет обход аутентификации и удалённое выполнение кода. Атакующему не нужны логин, пароль или действия пользователя: специально сформированные запросы позволяют выполнять команды на шлюзе. Проблема затрагивает версии 22.8R2.4, 25.1.2.2 и 25.1.1.1, а также более ранние сборки соответствующих веток.
В официальном бюллетене Ivanti указаны исправленные версии для каждой ветки: 22.8R2.5, 25.1.2.3 и 25.1.1.2. Администраторам следует выбрать сборку, соответствующую установленной ветке продукта.
Читайте также
Исследователи Volexity обнаружили, что группа UTA0576 использовала CVE-2026-104935 вместе с отдельной уязвимостью повышения привилегий. Такая цепочка давала максимальные права на полностью обновлённом на тот момент устройстве 22.8R2.4.
Важно различать эти проблемы: опубликованные сборки закрывают CVE-2026-104935, то есть обход аутентификации и удалённое выполнение кода. Отдельное повышение привилегий пока не исправлено — Ivanti планирует выпустить патч в ближайшие недели. Таким образом, нынешнее обновление не является исправлением всей обнаруженной цепочки.
В расследованном случае злоумышленники искали доменные учётные данные, пароли локальных администраторов LAPS и ключи восстановления BitLocker, а также удаляли записи из журналов. Volexity предупреждает, что штатный Integrity Checker Tool мог не заметить такую активность. Shadowserver насчитал более 5,5 тысячи доступных из интернета экземпляров Connect Secure, но неизвестно, сколько из них уязвимы или уже обновлены.
Что это значит
- Проверить ветку Connect Secure и установить 22.8R2.5, 25.1.2.3 или 25.1.1.2 соответственно.
- Регулярно запускать Integrity Checker Tool, как рекомендует Ivanti, но не считать отсутствие предупреждений гарантией безопасности.
- Проверить журналы и попытки перемещения от VPN-шлюза к другим системам: атакующие могли удалить часть следов.
- При признаках компрометации провести криминалистическое исследование устройства и связанных систем.