Ivanti предупреждает об атаках через уязвимость нулевого дня в Connect Secure

Компания Ivanti во вторник призвала клиентов немедленно установить обновление, закрывающее активно эксплуатируемую уязвимость нулевого дня в шлюзе удалённого доступа Ivanti Connect Secure (ICS). Этот корпоративный SSL VPN, ранее известный как Pulse Connect Secure, а изначально — Juniper Pulse, обеспечивает удалённым сотрудникам, подрядчикам и гибридным командам защищённый доступ к корпоративным и облачным ресурсам.

Уязвимость получила идентификатор CVE-2026-104935. Это брешь высокой степени опасности, позволяющая обойти аутентификацию. Она затрагивает версии ICS 22.8R2.4 и ниже, 25.1.2.2 и ниже, а также 25.1.1.1 и ниже. Удалённый злоумышленник без привилегий может воспользоваться ею в атаках низкой сложности, не требующих взаимодействия с пользователем, и выполнить произвольные команды на уязвимом устройстве.

«На момент раскрытия Ivanti известно об ограниченной эксплуатации в реальных условиях. Мы работаем напрямую с пострадавшими организациями, одновременно предоставляя информацию, обновления и меры защиты всему сообществу клиентов. Если вы используете одну из затронутых версий, Ivanti рекомендует действовать немедленно», — заявили в компании. Клиентам советуют изучить бюллетень безопасности, как можно скорее перейти на исправленную версию и регулярно запускать Integrity Checker Tool.

Эксплуатация с начала октября

Служба мониторинга Shadowserver насчитала свыше 5500 экземпляров ICS, доступных из интернета, однако неизвестно, сколько из них являются «приманками» или уже защищены.

Компания Volexity, обнаружившая и сообщившая об уязвимости, рассказала, что ранее неизвестная группировка, которую она отслеживает под именем UTA0576, с по меньшей мере 3 октября связывала CVE-2026-104935 с двумя другими брешами, добиваясь неаутентифицированного выполнения кода с правами root даже на полностью обновлённых устройствах. Примечательно, что UTA0576 не разворачивала вредоносное ПО или веб-шеллы: вместо этого группировка заново эксплуатировала устройство для каждой выполняемой команды и подчищала журналы, обходя Integrity Checker Tool от Ivanti.

Ivanti устранила две уязвимости, но всё ещё работает над закрытием бреши повышения привилегий, задействованной в той же цепочке. Компания Defused подтвердила выводы Volexity, отметив первые признаки эксплуатации ещё с 1 октября.

Повторяющаяся история

Уязвимости Ivanti давно привлекают злоумышленников, нередко как уязвимости нулевого дня, поскольку дают быстрый способ проникнуть в корпоративные сети. За последние годы компания закрыла несколько уязвимостей Connect Secure, эксплуатировавшихся в атаках: обход аутентификации (CVE-2023-46805) и инъекцию команд (CVE-2024-21887) в начале января 2024 года, SSRF (CVE-2024-21893) двумя неделями позже, а также две RCE-уязвимости — CVE-2025-0282 в январе 2025 года и CVE-2025-22457, которую с середины марта 2025 года использовали связанные с Китаем кибершпионы.

Агентство CISA с ноября 2021 года отметило 36 уязвимостей в продуктах Ivanti как активно эксплуатируемые, двенадцать из которых применяли и операторы программ-вымогателей. Решениями Ivanti для управления ИТ-активами пользуются более 40 000 клиентов по всему миру.

Источник: Bleeping Computer