Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) призова организациите незабавно да актуализират устройствата Ivanti Connect Secure заради уязвимост, която се използва при реални атаки поне от 1 октомври 2026 г. Проблемът позволява на отдалечени нападатели без удостоверяване да изпълняват произволни команди върху засегнатите системи, което създава риск от кражба на идентификационни данни и изнасяне на чувствителна информация.
Уязвимостта е регистрирана като CVE-2026-104935 и засяга механизма за удостоверяване на Ivanti Connect Secure (ICS) – решение за защитен отдалечен достъп, използвано от организации за свързване към корпоративни мрежи. Според Ivanti вече има ограничени случаи на експлоатация, поради което компанията призова клиентите да предприемат незабавни действия.
Във вторник Ivanti публикува коригиращи версии 22.8R2.5, 25.1.3.0, 25.1.3.1 и 25.1.1.2. Организациите трябва да проверят кои устройства използват и да приложат съответната актуализация възможно най-бързо.
Изследователската компания Volexity съобщава, че проследяваната от нея група UTA0576 комбинира уязвимостта с два други пропуска при атаки, наблюдавани поне от 3 октомври. Според анализа тази последователност от експлойти позволява изпълнение на код с права на системен администратор без предварително удостоверяване. Volexity установява и действия след проникването, насочени към кражба на идентификационни данни и чувствителни тайни от корпоративната инфраструктура, включително пароли от Local Administrator Password Solution (LAPS) и ключове за възстановяване на BitLocker.
Мащабът на потенциалното излагане също буди тревога. Shadowserver отчита над 5600 хоста, достъпни през интернет, с разпознати характеристики на Ivanti Connect Secure. Този брой не показва колко устройства са уязвими или компрометирани, но подчертава необходимостта организациите да проверят публично достъпните си VPN системи.
CISA добави CVE-2026-104935 към каталога си с уязвимости, за които има доказателства за активна експлоатация. Федералните агенции в САЩ трябва да защитят мрежите си до петък съгласно задължителна оперативна директива BOD 26-04. Отделно от това CISA призова всички организации, използващи засегнатите устройства, да инсталират актуализациите и да проверят за признаци на компрометиране.
Самото обновяване не е достатъчно, ако системата вече е била пробита. CISA предупреждава, че стандартният Integrity Checker Tool на Ivanti може да не открие следи от експлоатация на CVE-2026-104935, тъй като командите на нападателите могат да се изпълняват в паметта. За надеждна проверка може да се наложи мрежова и паметова криминалистична експертиза.
При установено компрометиране CISA препоръчва администраторите да архивират конфигурацията, да възстановят устройството до фабричните настройки и да инсталират актуалната версия. При виртуални и облачни инсталации трябва да се изгради наново съответната виртуална инстанция. След това конфигурацията може да бъде възстановена от резервното копие, но всички пароли – включително домейнни, административни и локални – трябва да бъдат сменени. Необходимо е също съхраняваните сертификати да бъдат оттеглени и издадени наново, а API ключовете и идентификационните данни за лицензионните сървъри да бъдат подменени.
Случаят е поредният от серия сериозни уязвимости в Ivanti Connect Secure, експлоатирани преди или около момента на публикуване на корекции. През последните години CISA е включила общо 36 уязвимости на Ivanti в каталога си с активно експлоатирани пропуски, като 12 от тях са били използвани и при атаки с ransomware.
За бизнеса основният риск е свързан с ролята на VPN устройствата като входна точка към вътрешните мрежи. Компрометирането им може да даде достъп до акаунти, административни тайни и ресурси, които иначе не са публично достъпни. Затова организациите трябва не само да приложат корекцията, но и да прегледат журналите, да проверят подозрителните сесии и да потърсят признаци за кражба на идентификационни данни или изнасяне на информация.