Пропускът позволява на отдалечени атакуващи да изпълняват команди без удостоверяване и без взаимодействие от страна на потребителя. Изследователи съобщават за целенасочени атаки, при които уязвимостта се комбинира с други два дефекта за постигане на изпълнение на код с root привилегии.

Ivanti призова клиентите си незабавно да актуализират шлюзовете за отдалечен достъп Ivanti Connect Secure (ICS) заради критична уязвимост от нулев ден, която вече се използва при атаки. Проблемът е регистриран като CVE-2026-104935 и засяга версии 22.8R2.4 и по-стари, 25.1.2.2 и по-стари, както и 25.1.1.1 и по-стари.

Ivanti Connect Secure, познат преди като Pulse Connect Secure, е корпоративно решение за SSL VPN достъп. То позволява на служители, външни изпълнители и екипи с хибриден режим на работа да се свързват дистанционно с корпоративни и облачни ресурси.

Уязвимостта заобикаля механизмите за удостоверяване. Според публикуваната информация тя може да бъде експлоатирана дистанционно от нападатели без предварителни привилегии, като атаката е с ниска сложност и не изисква действия от страна на потребителя.

Атаките са започнали най-късно в началото на октомври

Компанията за киберсигурност Volexity, която е открила и докладвала уязвимостта, съобщава, че неизвестен досега участник, проследяван като UTA0576, използва CVE-2026-104935 най-малко от 3 октомври 2026 г. в комбинация с още два пропуска.

Според изследователите тази верига от уязвимости е позволявала изпълнение на код с root привилегии без предварително удостоверяване, включително върху устройства с инсталирани всички налични към момента корекции за част от засегнатите проблеми.

Особено тревожен е начинът, по който нападателите са прикривали дейността си. По данни на Volexity те не са инсталирали зловреден софтуер или уеб обвивка. Вместо това са използвали повторно уязвимостта при изпълнението на всяка команда и са манипулирали журналите, за да заличат следите си и да избегнат откриване от Integrity Checker Tool на Ivanti.

Това поведение усложнява разследването на инциденти. Липсата на познат зловреден файл или уеб обвивка не е достатъчно доказателство, че дадено устройство не е било компрометирано.

Компанията за разузнаване на заплахи Defused също съобщава за признаци на експлоатация, като посочва, че е регистрирала първите сигнали още на 1 октомври.

Ivanti публикува корекции, но веригата от пропуски остава проблем

Ivanti заявява, че към момента на оповестяването е била наясно с ограничен брой случаи на експлоатация и работи пряко със засегнатите организации. Компанията призовава клиентите да прегледат официалния бюлетин, да преминат към коригирана версия възможно най-скоро и редовно да използват Integrity Checker Tool.

По данни в публикацията Ivanti е отстранила два от дефектите, използвани във веригата на атаката, но продължава да работи по корекцията на уязвимост за повишаване на привилегиите, която също е била използвана от UTA0576.

Това означава, че организациите не трябва да приемат инсталирането на една корекция като достатъчно, ако други компоненти от веригата остават уязвими. Необходимо е да се следват актуалните указания на производителя за конкретните версии и всички свързани пропуски.

Допълнителен риск представлява широката достъпност на подобни устройства през интернет. Според данните на Shadowserver повече от 5500 екземпляра на ICS са били видими онлайн. Публикуваната статистика обаче не уточнява колко от тях са системи за наблюдение тип honeypot или вече са защитени с актуализации.

История на атаки срещу VPN устройствата на Ivanti

Уязвимостите в Ivanti Connect Secure многократно са били използвани за проникване в корпоративни мрежи, кражба на чувствителна информация и внедряване на зловреден софтуер.

През януари 2024 г. компанията отстрани уязвимост за заобикаляне на удостоверяването (CVE-2023-46805) и пропуск за инжектиране на команди (CVE-2024-21887). По-късно същия месец беше коригиран и дефект тип SSRF, регистриран като CVE-2024-21893.

През януари 2025 г. Ivanti поправи уязвимост за дистанционно изпълнение на код CVE-2025-0282. Друг подобен пропуск, CVE-2025-22457, беше използван при атаки най-малко от средата на март 2025 г., според информацията за случая.

Американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) е включила 36 уязвимости в различни продукти на Ivanti в каталога си с известни активно експлоатирани пропуски от ноември 2021 г. насам. Дванадесет от тях са били използвани и от ransomware групи.

Какво трябва да направят администраторите

Организациите, които използват Ivanti Connect Secure, трябва незабавно да установят дали работят със засегнатите версии и да приложат корекциите според официалния бюлетин на производителя.

Препоръчителните действия включват:

• Незабавна актуализация до коригирана версия според указанията на Ivanti.
• Проверка на журналите и наличните данни за признаци на неоторизирано изпълнение на команди и манипулиране на логове.
• Редовно изпълнение на Integrity Checker Tool, без резултатите му да се приемат като единствено доказателство за липса на компрометиране.
• Преглед на мрежовия достъп до VPN устройствата и ограничаване на ненужната им експозиция към интернет.
• При съмнение за компрометиране – разследване на инцидента и оценка на достъпа до вътрешни системи и чувствителни данни.

Основният риск е, че уязвимостта засяга инфраструктура, която по предназначение осигурява вход към корпоративната мрежа. Затова реакцията трябва да включва не само инсталиране на корекции, но и проверка дали устройството вече не е било компрометирано.