vanti публикува спешни актуализации за две нови уязвимости в платформата за отдалечен достъп Connect Secure (ICS), които вече са били използвани в реални атаки поне от началото на октомври 2026 г. Нападателите са комбинирали двата недостатъка с трета уязвимост – CVE-2026-104935, позволяваща заобикаляне на удостоверяването, за да получат неоторизиран достъп до устройствата.

Новите уязвимости са CVE-2026-111357 и CVE-2026-118527. Първата е с висока степен на сериозност и позволява повишаване на привилегиите, а втората дава възможност на вече удостоверени нападатели да качват файлове върху уязвимо устройство.

CVE-2026-104935 беше коригирана през октомври, след като Ivanti установи ограничена експлоатация в реална среда. Компанията обяснява, че тогава е приоритизирала бързото отстраняване на основния път за атака, вместо да забавя актуализацията до приключване на работата по останалите два недостатъка.

Според компанията за киберсигурност Volexity атакуващият клъстер UTA0576 е комбинирал трите уязвимости, за да постигне изпълнение на код с права на системен администратор (root) без необходимост от удостоверяване, включително срещу устройства с инсталирани предходни актуализации. Първите признаци на експлоатация са регистрирани от 1 октомври.

Особено тревожен е начинът, по който нападателите са прикривали дейността си. Вместо да инсталират зловреден софтуер или уеб обвивка, те са използвали повторна експлоатация на устройството за изпълнението на всяка отделна команда и са манипулирали системните журнали. Според Volexity този подход е позволил заобикаляне дори на инструмента Integrity Checker Tool на Ivanti.

Междувременно американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) добави CVE-2026-104935 в каталога си с активно експлоатирани уязвимости и разпореди на федералните агенции да приложат съответните корекции в определения срок.

По данни на Shadowserver в интернет са били видими над 5000 инстанции на Ivanti Connect Secure. Засега няма публична информация колко от тях са актуализирани и защитени срещу продължаващите атаки.

Случаят отново подчертава риска, който представляват интернет-достъпните VPN и шлюзове за отдалечен достъп. Компрометирането им може да осигури на нападателите входна точка към вътрешната инфраструктура на организацията, включително до системи и данни, които не са пряко изложени в интернет.

За администраторите и екипите по сигурността приоритетът е незабавна проверка на използваните версии на Ivanti Connect Secure, инсталиране на всички приложими актуализации и преглед на системните журнали за признаци на компрометиране. Самото актуализиране не трябва да се приема като достатъчно доказателство, че устройство, което вече е било атакувано, е възстановено в надеждно състояние.

Историята на Ivanti показва, че подобни уязвимости не са изолиран случай. От ноември 2021 г. CISA е включила 38 уязвимости на компанията в каталога си за активно експлоатирани недостатъци, като 12 от тях са били използвани и при ransomware атаки.