30 октября 2026 года CISA добавила две уязвимости Ivanti Connect Secure в каталог Known Exploited Vulnerabilities (KEV). Уязвимости CVE-2026-111357 и CVE-2026-118527 используются в цепочке с ранее каталогизированной CVE-2026-104935 для достижения выполнения кода с правами root без аутентификации. По данным Volexity, атаки проводит ранее неизвестная группировка, отслеживаемая как UTA0576. Организациям, использующим Ivanti Connect Secure, необходимо немедленно установить доступные патчи — цепочка уже активно эксплуатируется.
Технические детали уязвимостей
Цепочка эксплуатации объединяет три уязвимости, каждая из которых выполняет свою роль:
- CVE-2026-104935 (CVSS 8.6, CNA Ivanti) — обход аутентификации через подмену (CWE-290), позволяющий удалённому неаутентифицированному атакующему выполнять произвольные команды. Затрагивает версии до 25.1.3.0; по данным NVD, версии 22.7R2.14 и более ранние не подвержены. Добавлена в CISA KEV 13 октября 2026 года со сроком устранения до 16 октября.
- CVE-2026-111357 — повышение привилегий до root, связанное с тем, что служба dsinvoked доверяет конфигурационным данным DSCache (CWE-829). NVD фиксирует эксплуатацию в дикой природе в октябре 2026 года. Добавлена в CISA KEV 30 октября со сроком устранения до 2 ноября.
- CVE-2026-118527 — уязвимость, связанная с генерацией предсказуемых идентификаторов, позволяющая загрузку файлов с контролируемым атакующим содержимым. Следует отметить, что для этой уязвимости не удалось найти подтверждающую запись в NVD или других первичных реестрах, а в детерминистическом пакете данных она отмечена как отсутствующая в CISA KEV — это расходится с утверждением исходного материала.
Важное расхождение в оценке серьёзности: исходный материал указывает CVSS 8.8 для CVE-2026-111357, однако запись NVD отображает оценку CNA (MITRE) в 7.0. При планировании реагирования рекомендуется ориентироваться на данные NVD как на первичный источник.
Механизм цепочки эксплуатации
По данным Volexity, цепочка атаки включает три последовательных этапа: обход аутентификации, удалённое выполнение кода и повышение привилегий. Технически ранние стадии задействуют произвольную маршрутизацию CGI-запросов и запись файлов через компонент wu.cgi, а финальное повышение привилегий связано со службой dsinvoked и конфигурацией DSCache. Наблюдаемая эксплуатация зафиксирована на устройстве с версией 22.8R2.4.
Особенность этой цепочки — модификация кода в памяти с последующим восстановлением состояния конфигурации. Атакующие передают команды и получают результаты непосредственно через HTTPS-запросы, не разворачивая веб-шеллы, бэкдоры или отдельные каналы управления. Это существенно затрудняет обнаружение стандартными средствами.
Контекст угрозы: группировка UTA0576
Volexity отслеживает активность под обозначением UTA0576 — это аналитическая метка, а не установленная принадлежность к известной группировке. Идентичность оператора не установлена независимо. Volexity с низкой степенью уверенности оценивает мотивацию как криминальную, а не шпионскую.
Постэксплуатационная активность, по данным Volexity, была направлена на извлечение учётных данных LDAP и Active Directory, паролей LAPS, ключей восстановления BitLocker, конфигурационных данных, журналов аутентификации и сетевой информации. В отличие от типичных атак на VPN-шлюзы, UTA0576 не устанавливал постоянное присутствие на скомпрометированных устройствах.
Volexity идентифицировала IP-адрес 108.165.147[.]64 (VPS-провайдер Evoxt) как инфраструктуру, связанную с этой активностью. Это наблюдаемый индикатор, а не доказательство идентичности оператора.
Ранее мы уже освещали уязвимости в продуктах для удалённого доступа, включая Ivanti Connect Secure — этот продукт остаётся приоритетной целью для атакующих.
Оценка воздействия
Ivanti Connect Secure — широко используемый VPN-шлюз в корпоративной среде и государственных структурах. Получение root-доступа без аутентификации означает полную компрометацию устройства, включая доступ ко всем проходящим через него учётным данным и сетевому трафику. Целенаправленное извлечение паролей LAPS и ключей BitLocker указывает на подготовку к дальнейшему продвижению по инфраструктуре Active Directory.
Агентства федеральной гражданской исполнительной ветви власти США (FCEB) обязаны устранить CVE-2026-111357 до 2 ноября 2026 года. Для CVE-2026-104935 срок устранения по KEV уже истёк 16 октября.
Рекомендации по реагированию
- Немедленное обновление: установите версии Ivanti Connect Secure 25.1.1.3 или 22.8R2.6, которые, согласно заявлению Ivanti, устраняют все уязвимости цепочки. Версия 25.1.3.0 содержит исправление CVE-2026-104935, выпущенное ещё в июле.
- Мониторинг сетевого трафика: Volexity рекомендует отслеживать запросы к welcome.cgi с заголовками X-DSCGI-PATH, указывающими на wu.cgi или временные пути выполнения.
- Форензика, а не только Integrity Checker: Volexity предупреждает, что встроенный Ivanti Integrity Checker может не обнаружить следы этой эксплуатации из-за модификации кода в памяти. Рекомендуется проведение сетевой и криминалистической экспертизы памяти.
- Проверка Active Directory: при подозрении на компрометацию — аудит учётных записей, ротация паролей LAPS и проверка обращений к атрибутам, содержащим пароли и ключи восстановления BitLocker.
- IOC: добавьте IP-адрес 108.165.147[.]64 в мониторинг.
Цепочка CVE-2026-104935 → CVE-2026-111357 обеспечивает полный root-доступ к Ivanti Connect Secure без аутентификации и уже активно эксплуатируется. Приоритет — немедленная установка патчей версий 25.1.1.3 или 22.8R2.6 с параллельным проведением криминалистического анализа сетевого трафика и памяти устройств для выявления возможной компрометации до момента обновления.
