Американское агентство CISA призвало немедленно устранить уязвимость Ivanti Connect Secure CVE-2026-104935, которую злоумышленники используют как zero-day минимум с 1 октября. Ошибка позволяет удалённому атакующему без учётной записи выполнять команды на VPN-шлюзе; для компаний это означает риск кражи доменных секретов ещё до того, как инцидент попадёт в логи SOC.
Об атаке и рекомендациях регулятора сообщает BleepingComputer. Ivanti 13 октября выпустила исправленные версии Connect Secure 22.8R2.5, 25.1.3.0, 25.1.3.1 и 25.1.1.2, попросив клиентов действовать немедленно из-за ограниченной, но подтверждённой эксплуатации в реальных атаках.
CVE-2026-104935 получила высокий уровень опасности. По данным CISA, обход аутентификации открывает путь к произвольному выполнению команд без взаимодействия с пользователем и без сложной подготовки атаки. Для периметрового устройства это особенно неприятный сценарий: Connect Secure обычно стоит на границе сети и имеет доступ к корпоративной инфраструктуре, а значит компрометация одного шлюза может стать входной точкой во внутренний контур.
Исследователи Volexity отслеживают связанную с атаками группу под именем UTA0576. Компания заявила, что атакующие с 3 октября объединяют эту проблему с ещё двумя уязвимостями: цепочка даёт обход аутентификации, удалённое выполнение кода и повышение привилегий до root. После проникновения злоумышленники искали учётные данные Active Directory, включая пароли из Local Administrator Password Solution, а также ключи восстановления BitLocker.
Патч недостаточен, если шлюз уже взломан
Отдельное предупреждение CISA важно прочитать до привычного пункта «обновить в ближайшее окно». Агентство считает, что для поиска следов компрометации потребуются сетевой и memory-forensics-анализ. Команды атакующих исполняются в памяти, поэтому штатный инструмент Ivanti Integrity Checker может не обнаружить признаки эксплуатации именно CVE-2026-104935. Иными словами, успешное обновление закрывает дверь, но не гарантирует, что внутри уже никого нет.
Если компрометация подтверждена, CISA рекомендует не ограничиваться установкой патча. План включает резервное копирование конфигурации, сброс устройства к заводским настройкам и обновление до актуальной версии. Для облачных и виртуальных развёртываний предлагается заново собрать виртуальный экземпляр. После восстановления конфигурации необходимо сменить пароли доменных, локальных и административных учётных записей, а также отозвать и перевыпустить сертификаты, сбросить API-ключи и учётные данные сервера лицензий.
Федеральным гражданским ведомствам США предписано защитить сети к пятнице в рамках Binding Operational Directive 26-04. Формально директива относится только к американским федеральным учреждениям, но техническая логика не зависит от юрисдикции. Российским командам, использующим Connect Secure, стоит отнестись к уязвимости Ivanti Connect Secure как к потенциальному инциденту: проверить версии, историю административных действий, сетевые соединения от шлюза и аномальные обращения к контроллерам домена.
Масштаб возможной поверхности атаки заметен и без точной статистики по патчам. Shadowserver фиксирует более 5 600 интернет-узлов с признаками Ivanti Connect Secure, но неизвестно, сколько из них обновлены, а сколько являются ловушками для атакующих. Публично доступный VPN-шлюз сам по себе не означает уязвимость, однако при наличии активной эксплуатации и простого удалённого вектора он становится разумным кандидатом на внеочередную проверку.
У Ivanti снова проблема на периметре
Это не первый подобный эпизод для линейки Connect Secure. В январе 2024 года Ivanti закрывала активно используемые CVE-2023-46805 и CVE-2024-21887, затем устраняла CVE-2024-21893. В 2025 году компания исправила RCE-уязвимости CVE-2025-0282 и CVE-2025-22457; последнюю, по данным источника, эксплуатировали связанные с Китаем кибершпионские группы. С ноября 2021 года CISA внесло в каталог известных эксплуатируемых уязвимостей 36 проблем Ivanti, из которых 12 применялись и в атаках с вымогателями.
Для ИТ-директоров этот кейс — напоминание, что VPN и другие пограничные устройства нельзя оставлять вне привычного цикла управления уязвимостями: инвентаризация, быстрый патч, мониторинг и заранее проверенный сценарий восстановления здесь важнее формального SLA. Главный вопрос теперь не в том, появится ли обновление — оно уже есть, — а в том, успеют ли владельцы систем отличить профилактический патч от полноценного реагирования на уже состоявшееся проникновение.