CISA подтвердила, что злоумышленники эксплуатируют три уязвимости в Ivanti Connect Secure — CVE-2026-104935, CVE-2026-111357 и CVE-2026-118527. Все три позволяют удалённо выполнять произвольные команды без аутентификации, а атакующие используют их для кражи учётных данных и вывода данных. CVE-2026-104935 попала в каталог Known Exploited Vulnerabilities (KEV) 13 октября 2026 года, две другие — 30 октября.
Какие версии Ivanti Connect Secure уязвимы
Под удар попадают три линейки:
- 25.1.1.2 и более ранние;
- 25.1.2.2 и более ранние;
- 22.8R2.5 и более ранние.
CISA призывает организации с затронутыми шлюзами и развёртываниями немедленно обновиться до последней версии — порядок действий описан в бюллетене Ivanti Security Advisory Ivanti Connect Secure (CVE-2026-104935). Для аппаратных и виртуальных шлюзов отдельно рекомендован документ Ivanti Connect Secure 25.x Upgrade and Migration Compatibility Guide: в нём разобраны детали миграции и установки патчей.
Важная дата: поддержка ветки Ivanti Connect Secure 22.8 заканчивается 31 января 2027 года. Тем, кто ещё сидит на ней, стоит учитывать это при планировании обновления.
Проверить компрометацию штатным средством не получится
Ivanti Integrity Checker Tool может не обнаружить следов эксплуатации CVE-2026-104935, потому что команды атакующих выполняются в памяти. Определить, был ли взлом, можно только сетевой и оперативной криминалистикой — анализом трафика и дампов памяти шлюза.
Это тот случай, когда отсутствие срабатываний встроенной проверки ничего не доказывает. Если есть подозрение на компрометацию, CISA предлагает такой порядок восстановления (из Ivanti Connect Secure Recovery Procedures):
- Сделать резервную копию конфигурации шлюза — инструкция есть в материале Ivanti «How to Backup & Restore the Binary Configuration Using Archiving Server».
- Выполнить сброс к заводским настройкам и обновить шлюз до последней версии.
- Для облачных и виртуальных систем пересобрать виртуальный экземпляр и обновить его до последней версии.
- Восстановить конфигурацию из резервной копии, созданной на шаге 1.
- Сбросить пароли всех учётных записей — доменных, административных и локальных. Отозвать и перевыпустить хранимые сертификаты, сбросить сохранённые ключи API и учётные данные сервера лицензий.
Порядок важен: резервная копия снимается до сброса, а восстановление конфигурации идёт уже на пропатченную систему. Сброс паролей и перевыпуск сертификатов — не формальность: если атакующий успел забрать учётные данные, без ротации он сохранит доступ.
Что почитать по самой атаке
CISA отсылает к бюллетеню Ivanti и руководству по обновлению, а также к публикации Volexity «A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days» — там разобрана цепочка эксплуатации zero-day в Ivanti Connect Secure. Для администратора это основной источник технических деталей: какие именно уязвимости связываются в цепочку и как выглядит атака.
Отдельно стоит помнить, что история с Ivanti Connect Secure — не единичный случай, когда CISA расширяет каталог KEV задним числом. Ранее в каталог попадали уязвимости в других пограничных продуктах, например Cisco ASA и FTD с 0-day в SSL VPN и PaperCut NG/MF с цепочкой RCE без аутентификации. Общая логика одна: если шлюз смотрит в интернет, его патч-статус проверяют первым.
Почему это касается и российских организаций
Ivanti Connect Secure — корпоративный VPN-шлюз, который ставят на периметре, чтобы пускать сотрудников и подрядчиков во внутреннюю сеть. Именно такие системы интересны атакующим в первую очередь: успешная эксплуатация даёт вход внутрь без пароля и без следов в журналах, если команды выполняются в памяти.
Для администратора вывод простой: проверьте, какие версии Ivanti Connect Secure у вас в работе, сверьте их с перечнем уязвимых сборок и обновитесь. Если обновиться прямо сейчас нельзя, шлюз стоит как минимум вывести из прямого доступа из интернета или ограничить круг адресов, с которых к нему подключаются, — но это временная мера, а не замена патчу.
Частые вопросы
Какие именно уязвимости эксплуатируют?
CVE-2026-104935, CVE-2026-111357 и CVE-2026-118527. Все три в Ivanti Connect Secure дают удалённое выполнение произвольных команд без аутентификации.
Когда уязвимости попали в каталог KEV?
CVE-2026-104935 — 13 октября 2026 года, CVE-2026-111357 и CVE-2026-118527 — 30 октября 2026 года.
Какие версии нужно обновлять?
25.1.1.2 и более ранние, 25.1.2.2 и более ранние, 22.8R2.5 и более ранние.
Как понять, что шлюз уже взломали?
Штатная проверка Ivanti Integrity Checker Tool может не увидеть следов эксплуатации CVE-2026-104935, так как команды выполняются в памяти. Нужна сетевая и оперативная криминалистика.
Что делать при подозрении на компрометацию?
Снять резервную копию конфигурации, сбросить шлюз к заводским настройкам и обновить его, для виртуальных систем пересобрать экземпляр, восстановить конфигурацию, затем сбросить пароли всех учётных записей, отозвать и перевыпустить сертификаты, сбросить ключи API и данные сервера лицензий.
Обязательно ли перевыпускать сертификаты после сброса?
Да, CISA прямо включает отзыв и перевыпуск хранимых сертификатов в список действий при подозрении на компрометацию, вместе со сбросом паролей и ключей API.
Когда заканчивается поддержка ветки 22.8?
31 января 2027 года. После этой даты обновлений для неё не будет, поэтому затягивать с миграцией не стоит.
Где взять подробности по самой атаке?
В бюллетене Ivanti Security Advisory Ivanti Connect Secure (CVE-2026-104935), руководстве Ivanti Connect Secure 25.x Upgrade and Migration Compatibility Guide и публикации Volexity о цепочке эксплуатации zero-day в Ivanti Connect Secure.
Источник: cisa.gov