Volexity описала цепочку из трёх уязвимостей Ivanti Connect Secure, которую применял ранее неизвестный злоумышленник UTA0576. Она позволяла выполнить код с правами root без предварительной авторизации. По данным Volexity, атакующий объединил обход аутентификации, удалённое выполнение кода и повышение привилегий.
Основной точкой входа стала CVE-2026-104935 с оценкой CVSS 8,6. Эта уязвимость позволяет обойти аутентификацию и использовалась вместе с двумя другими дефектами. 13 октября 2026 года CVE-2026-104935 внесли в каталог KEV — перечень уязвимостей, известных по фактам эксплуатации.
В цепочку также вошла CVE-2026-111357, оценённая в 8,8 балла. Она связана с отсутствием аутентификации для критически важной функции и может дать локальному авторизованному атакующему возможность повысить привилегии. Третья уязвимость, CVE-2026-118527, получила оценку 4,3: удалённый пользователь с учётной записью мог загружать файлы с заданным атакующим содержимым в известное расположение на диске. Причина — предсказуемая генерация чисел или идентификаторов.
UTA0576, по наблюдениям специалистов, не стал устанавливать веб-оболочки или вредоносные программы. Вместо этого он извлекал учётные данные и ограниченные метаданные Active Directory, изучал атакованные хосты и искал пароли администраторов и ключи восстановления BitLocker.
Ivanti сообщила, что на момент публикации сведений об эксплуатации ещё готовила исправление для уязвимости повышения привилегий. Патч для CVE-2026-104935 компания уже разработала, но он проходил контроль качества для поддерживаемых версий. Ivanti решила не откладывать выпуск этого исправления, пока ведётся работа над LPE-дефектом: первоочередной задачей компания назвала раскрытие информации об основной уязвимости и быструю защиту клиентов.
Часть проблемы, по заявлению Ivanti, обнаружили в рамках программы безопасности продукта и исправили в июльском выпуске 25.1.3.0. Когда началась эксплуатация, компания готовила перенос патча на другие поддерживаемые версии. В опубликованных сведениях указано, что последняя версия закрывает все уязвимости, объединённые в цепочку и использовавшиеся в реальных атаках.
Для версии «1.1.2 и prior» исправление обозначено как 25.1.1.3. Для 22.8R2.5 и более ранних версий указан патч 22.8R2.6. В описании не уточняется, к какой именно линейке продукта или CVE относится запись «1.1.2 и prior».
Федеральные гражданские ведомства США (FCEB) должны установить исправления в установленные сроки: закрыть CVE-2026-111357 до 2 ноября 2026 года, а CVE-2026-118527 — до 13 ноября 2026 года.
Изображение носит иллюстративный характер
Основной точкой входа стала CVE-2026-104935 с оценкой CVSS 8,6. Эта уязвимость позволяет обойти аутентификацию и использовалась вместе с двумя другими дефектами. 13 октября 2026 года CVE-2026-104935 внесли в каталог KEV — перечень уязвимостей, известных по фактам эксплуатации.
В цепочку также вошла CVE-2026-111357, оценённая в 8,8 балла. Она связана с отсутствием аутентификации для критически важной функции и может дать локальному авторизованному атакующему возможность повысить привилегии. Третья уязвимость, CVE-2026-118527, получила оценку 4,3: удалённый пользователь с учётной записью мог загружать файлы с заданным атакующим содержимым в известное расположение на диске. Причина — предсказуемая генерация чисел или идентификаторов.
UTA0576, по наблюдениям специалистов, не стал устанавливать веб-оболочки или вредоносные программы. Вместо этого он извлекал учётные данные и ограниченные метаданные Active Directory, изучал атакованные хосты и искал пароли администраторов и ключи восстановления BitLocker.
Ivanti сообщила, что на момент публикации сведений об эксплуатации ещё готовила исправление для уязвимости повышения привилегий. Патч для CVE-2026-104935 компания уже разработала, но он проходил контроль качества для поддерживаемых версий. Ivanti решила не откладывать выпуск этого исправления, пока ведётся работа над LPE-дефектом: первоочередной задачей компания назвала раскрытие информации об основной уязвимости и быструю защиту клиентов.
Часть проблемы, по заявлению Ivanti, обнаружили в рамках программы безопасности продукта и исправили в июльском выпуске 25.1.3.0. Когда началась эксплуатация, компания готовила перенос патча на другие поддерживаемые версии. В опубликованных сведениях указано, что последняя версия закрывает все уязвимости, объединённые в цепочку и использовавшиеся в реальных атаках.
Для версии «1.1.2 и prior» исправление обозначено как 25.1.1.3. Для 22.8R2.5 и более ранних версий указан патч 22.8R2.6. В описании не уточняется, к какой именно линейке продукта или CVE относится запись «1.1.2 и prior».
Федеральные гражданские ведомства США (FCEB) должны установить исправления в установленные сроки: закрыть CVE-2026-111357 до 2 ноября 2026 года, а CVE-2026-118527 — до 13 ноября 2026 года.
