Как злоумышленники обходят защиту Ivanti Connect Secure одним запросом?

Уязвимость CVE-2026-104935 с оценкой 8,6 по шкале CVSS позволяет удалённому злоумышленнику без учётной записи выполнять произвольные команды на устройствах Ivanti Connect Secure (ICS). Дефект обхода аутентификации затрагивает версии 25.1.1.1 и более ранние, 25.1.2.2 и более ранние, а также 22.8R2.4 и более ранние. Ivanti и специалисты по безопасности сообщают об эксплуатации уязвимости как zero-day.

Агентство кибербезопасности и защиты инфраструктуры США (CISA) предупредило, что атакующие используют брешь для кражи учётных данных и вывода информации. Уязвимость внесена в каталог известных эксплуатируемых уязвимостей CISA (KEV). Федеральные ведомства исполнительной власти гражданского назначения (FCEB) обязаны установить исправления до 16 октября 2026 года. CISA рекомендует сверяться с руководством Ivanti Connect Secure Upgrade and Migration Compatibility Guide. Версия Connect Secure 22.8 утратит поддержку 31 января 2027 года.
Если есть основания подозревать взлом, CISA советует провести сетевую и форензическую проверку памяти устройства. Восстановление включает сброс к заводским настройкам и обновление до последней версии; для облачных и виртуальных систем нужно заново развернуть виртуальный экземпляр. Затем конфигурацию восстанавливают из резервной копии, созданной на первом этапе. После этого следует сменить пароли всех доменных, административных и локальных учётных записей, отозвать и перевыпустить сохранённые сертификаты, а также заменить API-ключи и учётные данные сервера лицензий.
Компания Previdian сообщила, что к 14 октября 2026 года её приманки зафиксировали 105 попыток эксплуатации с 50 уникальных IP-адресов, геолокированных в Сингапуре и США. Среди обнаруженных адресов: 216.73.160[.]59, 216.73.160[.]61, 216.73.160[.]210 и 45.8.19[.]111.
Основатель и генеральный директор Previdian Райан Дьюхерст рассказал The Hacker News, что атакующие передавали специальный заголовок X-DSCGI-PATH, чтобы обратиться к внутреннему CGI-обработчику и загрузить Perl-скрипты, замаскированные под ZIP-архивы. Скрипты возвращали уникальные маркеры: так проверяли, удалось ли добиться удалённого выполнения кода. По словам Дьюхерста, перехваченные полезные нагрузки в основном служили для тестирования этой возможности, а не для установки вредоносной программы или захвата устройств.
Volexity впервые заметила эксплуатацию 3 октября 2026 года. Неизвестная прежде группа UTA0576 использовала уязвимость вместе с другой брешью, позволяющей повысить привилегии, и добивалась выполнения кода с правами root без аутентификации. Volexity считает, что группа действовала ради преступной наживы, а не шпионажа.
Исследователи Чарли Гарднер, Шон Кёссел и Стивен Адар обнаружили, что UTA0576 старалась скрывать следы: выборочно меняла журналы, удаляла временные артефакты выполнения и возвращала систему к изменённому состоянию. Группа не устанавливала вредоносные программы или веб-оболочки. Вместо этого она повторно использовала уязвимость для каждой команды и подделывала журналы, чтобы обойти Ivanti Integrity Checker Tool.
Defused Cyber также подтвердила активные атаки: её приманки зафиксировали эксплуатацию CVE-2026-104935 ещё с 1 октября 2026 года, до публичного раскрытия. Йордан Ганчев, главный специалист по анализу угроз watchTowr, пояснил, что один запрос с особым заголовком X-DSCGI-PATH способен обойти аутентификацию и открыть доступ к защищённым функциям.
По словам Ганчева, устройства Ivanti Connect Secure давно привлекают атакующих, в том числе группы вымогателей. Новая уязвимость стала пятнадцатой в перечне проблем Ivanti Connect Secure и Pulse Connect Secure, внесённых в каталог KEV. Он предупредил, что адресные атаки могут быстро перерасти в массовую эксплуатацию.
Организациям, использующим Ivanti Connect Secure, следует установить исправления без промедления и проверить устройства на признаки взлома. При разборе событий стоит искать входящие запросы с заголовком X-DSCGI-PATH, а при подозрении на компрометацию выполнить форензику и провести восстановление по рекомендациям CISA.