30 жовтня 2026 року CISA додала дві вразливості Ivanti Connect Secure до каталогу Known Exploited Vulnerabilities (KEV). Вразливості CVE-2026-111357 і CVE-2026-118527 використовуються в ланцюжку з раніше каталогізованою CVE-2026-104935 для досягнення виконання коду з правами root без автентифікації. За даними Volexity, атаки здійснює раніше невідома група, яку відстежують як UTA0576. Організаціям, що використовують Ivanti Connect Secure, необхідно негайно встановити доступні патчі — ланцюжок уже активно експлуатується.
Технічні деталі вразливостей
Ланцюжок експлуатації об’єднує три вразливості, кожна з яких відіграє свою роль:
- CVE-2026-104935 (CVSS 8.6, CNA Ivanti) — обхід автентифікації через підміну (CWE-290), що дозволяє віддаленому неавтентифікованому зловмиснику виконувати довільні команди. Стосується версій до 25.1.3.0; за даними NVD, версії 22.7R2.14 і більш ранні не є вразливими. Додана до CISA KEV 13 жовтня 2026 року зі строком усунення до 16 жовтня.
- CVE-2026-111357 — підвищення привілеїв до root, пов’язане з тим, що служба dsinvoked довіряє конфігураційним даним DSCache (CWE-829). NVD фіксує експлуатацію в реальних атаках у жовтні 2026 року. Додана до CISA KEV 30 жовтня зі строком усунення до 2 листопада.
- CVE-2026-118527 — вразливість, пов’язана з генерацією передбачуваних ідентифікаторів, що дає змогу завантажувати файли з вмістом, контрольованим зловмисником. Слід зазначити, що для цієї вразливості не вдалося знайти підтверджувальний запис у NVD чи інших первинних реєстрах, а в детермінованому пакеті даних вона позначена як відсутня в CISA KEV — це розходиться з твердженням вихідного матеріалу.
Важлива розбіжність в оцінці серйозності: вихідний матеріал вказує CVSS 8.8 для CVE-2026-111357, однак запис NVD відображає оцінку CNA (MITRE) 7.0. Під час планування реагування рекомендується орієнтуватися на дані NVD як на первинне джерело.
Механізм ланцюжка експлуатації
За даними Volexity, ланцюжок атаки включає три послідовні етапи: обхід автентифікації, віддалене виконання коду та підвищення привілеїв. На технічному рівні ранні стадії задіюють довільну маршрутизацію CGI-запитів і запис файлів через компонент wu.cgi, а фінальне підвищення привілеїв пов’язане зі службою dsinvoked і конфігурацією DSCache. Спостережувану експлуатацію зафіксовано на пристрої з версією 22.8R2.4.
Особливість цього ланцюжка — модифікація коду в пам’яті з подальшим відновленням стану конфігурації. Зловмисники передають команди й отримують результати безпосередньо через HTTPS-запити, не розгортаючи вебшелів, бекдорів чи окремих каналів керування. Це суттєво ускладнює виявлення стандартними засобами.
Контекст загрози: група UTA0576
Volexity відстежує активність під позначенням UTA0576 — це аналітична мітка, а не встановлена належність до відомої групи. Особу оператора незалежно не встановлено. Volexity з низьким рівнем упевненості оцінює мотивацію як кримінальну, а не шпигунську.
Постексплуатаційна активність, за даними Volexity, була спрямована на добування облікових даних LDAP і Active Directory, паролів LAPS, ключів відновлення BitLocker, конфігураційних даних, журналів автентифікації та мережевої інформації. На відміну від типових атак на VPN-шлюзи, UTA0576 не встановлював постійної присутності на скомпрометованих пристроях.
Volexity ідентифікувала IP-адресу 108.165.147[.]64 (VPS-провайдер Evoxt) як інфраструктуру, пов’язану з цією активністю. Це спостережуваний індикатор, а не доказ особи оператора.
Раніше ми вже висвітлювали вразливості в продуктах для віддаленого доступу, зокрема Ivanti Connect Secure — цей продукт залишається пріоритетною ціллю для зловмисників.
Оцінка впливу
Ivanti Connect Secure — широко використовуваний VPN-шлюз у корпоративному середовищі та державних структурах. Отримання root-доступу без автентифікації означає повну компрометацію пристрою, включно з доступом до всіх облікових даних і мережевого трафіку, що проходять через нього. Цілеспрямоване добування паролів LAPS і ключів BitLocker вказує на підготовку до подальшого просування інфраструктурою Active Directory.
Агентства федеральної цивільної виконавчої гілки влади США (FCEB) зобов’язані усунути CVE-2026-111357 до 2 листопада 2026 року. Для CVE-2026-104935 строк усунення за KEV уже сплив 16 жовтня.
Рекомендації щодо реагування
- Негайне оновлення: встановіть версії Ivanti Connect Secure 25.1.1.3 або 22.8R2.6, які, згідно із заявою Ivanti, усувають усі вразливості ланцюжка. Версія 25.1.3.0 містить виправлення CVE-2026-104935, випущене ще в липні.
- Моніторинг мережевого трафіку: Volexity рекомендує відстежувати запити до welcome.cgi із заголовками X-DSCGI-PATH, що вказують на wu.cgi або тимчасові шляхи виконання.
- Форензіка, а не лише Integrity Checker: Volexity попереджає, що вбудований Ivanti Integrity Checker може не виявити сліди цієї експлуатації через модифікацію коду в пам’яті. Рекомендується проведення мережевої та криміналістичної експертизи пам’яті.
- Перевірка Active Directory: за підозри на компрометацію — аудит облікових записів, ротація паролів LAPS і перевірка звернень до атрибутів, що містять паролі та ключі відновлення BitLocker.
- IOC: додайте IP-адресу 108.165.147[.]64 до моніторингу.
Ланцюжок CVE-2026-104935 → CVE-2026-111357 забезпечує повний root-доступ до Ivanti Connect Secure без автентифікації й уже активно експлуатується. Пріоритет — негайне встановлення патчів версій 25.1.1.3 або 22.8R2.6 паралельно з проведенням криміналістичного аналізу мережевого трафіку та пам’яті пристроїв для виявлення можливої компрометації до моменту оновлення.
