Цепочка zero-day в Ivanti Connect Secure даёт root-доступ без аутентификации

Разработчик Ivanti сообщил об активной эксплуатации уязвимости CVE-2026-104935 в Connect Secure. Она получила 8,6 балла по шкале CVSS 3.1 и позволяет удалённо выполнять команды без учётной записи и действий пользователя.

Исследователи из Volexity обнаружили цепочку из трёх zero-day уязвимостей на полностью обновлённой версии Connect Secure 22.8R2.4. Неизвестный злоумышленник, которого назвали UTA0576, начал использовать её 3 октября. Первые две ошибки Ivanti объединила под CVE-2026-104935: запрос к welcome.cgi перенаправляется на закрытый CGI-обработчик, обходя аутентификацию, а затем атакующий загружает Perl-код под видом ZIP-файла и выполняет его в промежутке между записью временного файла и проверкой архива. Третий zero-day повышает права от пользователя cgi-server до root, меняя библиотеку Ivanti только в памяти и подменяя параметры задачи в хранилище DSCache, чтобы привилегированный сервис dsinvoked запустил вредоносный код.

Эксплойт возвращает изменённые участки памяти в исходное состояние, из-за чего на накопителе почти не остаётся следов. Злоумышленник не оставлял веб-шеллов и не создавал постоянных каналов — каждая команда требовала повторного запуска всей последовательности, а ответ приходил в том же защищённом соединении. Получив root-доступ, UTA0576 искал секреты внутри корпоративной сети: крал LDAP-учётные данные, выгружал метаданные Active Directory, искал пароли LAPS и ключи восстановления BitLocker, перехватывал LDAP-трафик и проводил password spraying. Конечную цель атаки установить не удалось.

Чем грозит уязвимость российским компаниям

Ivanti Connect Secure — популярный VPN-шлюз, и в российских компаниях он тоже встречается, хотя сейчас чаще используются отечественные аналоги. Но если у вас остались такие устройства, особенно доступные из интернета, это прямой риск. По данным Shadowserver, в мире более 5500 экземпляров Connect Secure открыты для подключения извне. Атака позволяет незаметно собирать учётные данные и продвигаться по сети, поэтому последствия могут быть серьёзными.

Что делать для защиты

Установите исправления от Ivanti: 25.1.1.2, 25.1.3.0, 25.1.3.1 или 22.8R2.5 в зависимости от ветки. Но обновления недостаточно — Volexity советует проверить сетевую активность, временные каталоги и память устройств, а при подозрении на взлом провести полноценную криминалистическую проверку. Регулярно запускайте Integrity Checker Tool, но учтите, что он может пропустить компрометацию из-за техники атаки. Важно: патч для уязвимости повышения прав до root пока не выпущен, поэтому устройства остаются уязвимы даже после установки перечисленных обновлений. Если вы не уверены в безопасности, ограничьте доступ к устройству или отключите его до выяснения обстоятельств.