CISA в пятницу добавила в каталог Known Exploited Vulnerabilities (KEV) две уязвимости Ivanti Connect Secure (ICS), которые эксплуатируются в реальных атаках. Вместе с ранее закрытым обходом аутентификации они образуют цепочку, дающую неаутентифицированное выполнение кода с правами root.
Какие CVE в цепочке
В KEV попали два дефекта:
- CVE-2026-111357 (CVSS 8.8) — отсутствие проверки подлинности для критической функции. Локальный аутентифицированный атакующий может повысить привилегии.
- CVE-2026-118527 (CVSS 4.3) — генерация предсказуемых чисел или идентификаторов. Удалённый аутентифицированный атакующий может загрузить файлы с содержимым под своим контролем в известное место на диске.
Третье звено — CVE-2026-104935 (CVSS 8.6), обход аутентификации. Его добавили в KEV 13 октября 2026 года.
Как связана атака
Цепочку первым задокументировала Volexity в начале этого месяца. По её данным, уязвимости применяла ранее не упоминавшаяся группа UTA0576. Исследователи описали схему так: обход аутентификации, удалённое выполнение кода (RCE) и повышение привилегий вместе дают выполнение кода с правами root без входа в систему.
UTA0576 вела себя иначе, чем большинство атакующих, которые после эксплуатации таких дыр ставят веб-шеллы или вредоносное ПО. В этом случае злоумышленники извлекали учётные данные и ограниченный набор метаданных Active Directory, проводили разведку на хосте, искали пароли администраторов и ключи восстановления BitLocker.
Что исправили и когда
Ivanti сообщила, что на момент публикации деталей ещё работала над исправлением уязвимости локального повышения привилегий (LPE) из цепочки. Патчи для CVE-2026-111357 и CVE-2026-118527 уже доступны в версиях ICS:
- 25.1.1.2 и более ранние — исправлено в 25.1.1.3;
- 22.8R2.5 и более ранние — исправлено в 22.8R2.6.
Компания объяснила порядок выпуска так: когда обнаружилась эксплуатация, исправление для CVE-2026-104935 уже было готово и проходило проверку качества для поддерживаемых версий, и в Ivanti решили не задерживать защиту от основного пути эксплуатации. Поэтому сначала сосредоточились на раскрытии CVE-2026-104935. Часть этой уязвимости нашли в рамках программы безопасности продуктов и закрыли в июльском релизе 25.1.3.0; параллельно шла работа по переносу исправления на другие поддерживаемые версии, когда началась эксплуатация. Последний релиз закрывает все уязвимости, которые связывали в цепочку.
Федеральным агентствам гражданской исполнительной ветви США (FCEB) предписано установить исправления для CVE-2026-111357 до 2 ноября 2026 года, а для CVE-2026-118527 — до 13 ноября 2026 года.
Что делать администратору
В первую очередь проверьте версию Ivanti Connect Secure. Если на шлюзе стоит 25.1.1.2 или более ранняя сборка, нужна 25.1.1.3; если 22.8R2.5 или более ранняя — 22.8R2.6. Обновление закрывает все три уязвимости цепочки, включая обход аутентификации CVE-2026-104935.
После обновления стоит исходить из того, что шлюз мог быть скомпрометирован: UTA0576 интересовали учётные данные, метаданные Active Directory, пароли администраторов и ключи восстановления BitLocker. Если есть признаки доступа, имеет смысл сменить эти секреты, а не ограничиться установкой патча.
Ранее Ivanti Connect Secure уже попадала в сводки CISA — тогда ведомство подтвердило эксплуатацию трёх уязвимостей, включая новые CVE. Похожая картина и у другого пограничного устройства: zero-day CVE-2026-76461 в Cisco Secure Email Gateway даёт root. Общая тактика атак на периметр описана и в разборе цепочки 0-day в Chrome и Windows, которой бьют по правительствам и оборонке.
Частые вопросы
Кого касается эта цепочка уязвимостей?
Всех, у кого развёрнут Ivanti Connect Secure версий 25.1.1.2 и более ранних или 22.8R2.5 и более ранних. Именно эти сборки уязвимы к дефектам, закрытым в 25.1.1.3 и 22.8R2.6.
Нужно ли атакующему входить в систему?
Для всей цепочки — нет. Обход аутентификации CVE-2026-104935 позволяет начать атаку снаружи, а два других дефекта доводят её до выполнения кода с правами root. Сами по себе CVE-2026-111357 и CVE-2026-118527 требуют аутентификации.
Почему в KEV оказались только две уязвимости из трёх?
CVE-2026-104935 добавили в каталог раньше, 13 октября 2026 года. Две оставшиеся — CVE-2026-111357 и CVE-2026-118527 — попали туда в пятницу, после подтверждения эксплуатации.
Какие версии закрывают все три уязвимости?
25.1.1.3 и 22.8R2.6. По словам Ivanti, последний релиз устраняет все уязвимости, которые связывали в цепочку и эксплуатировали в реальных атаках.
Чем атака UTA0576 отличается от обычной?
Группа не ставила веб-шеллы и вредоносное ПО. Вместо этого она извлекала учётные данные и ограниченные метаданные Active Directory, вела разведку на хосте и искала пароли администраторов и ключи восстановления BitLocker.
Кто такая UTA0576?
Это обозначение, которое ввела Volexity для ранее не документированной группы, применявшей цепочку. Других сведений о её происхождении и связях в исходных данных нет.
Успею ли я обновиться, если шлюз нельзя вывести из работы?
Сроки CISA — 2 ноября 2026 года для CVE-2026-111357 и 13 ноября 2026 года для CVE-2026-118527 — касаются федеральных агентств США. Для остальных организаций это ориентир по срочности: патчи уже выпущены, откладывать обновление незачем.
Что проверить, если патч уже стоит?
Стоит убедиться, что после обновления не осталось следов доступа: сменённых или похищенных учётных данных, изменений в конфигурации, обращений к Active Directory. Ключи восстановления BitLocker и пароли администраторов при подозрении на компрометацию меняют, а не проверяют выборочно.
Источник: thehackernews.com