Ivanti выпустила обновления для Connect Secure, закрывающие активно эксплуатируемую уязвимость с оценкой CVSS 8,6. Уязвимость Ivanti Connect Secure позволяла удалённому неаутентифицированному атакующему выполнять произвольные команды на устройстве — то есть превращала VPN-шлюз из границы сети в удобную точку входа. Для российских компаний с такими шлюзами это повод не откладывать патч до ближайшего окна изменений и проверить признаки компрометации.
Речь идёт о CVE-2026-104935 — ошибке обхода аутентификации, которую обнаружили исследователи Volexity. По данным The Register, на момент раскрытия Ivanti уже знала о реальных атаках на ограниченное число клиентов. Исправления предназначены для веток 25.1.1.1 и более ранних, 25.1.2.2 и более ранних, а также 22.8R2.4 и более ранних.
Проблема выглядит особенно неприятно из-за места, где она возникла. Connect Secure используют для защищённого удалённого доступа к корпоративной сети. Уязвимость на таком периметре не требует фишингового письма, украденного пароля сотрудника или доступа из внутренней сети: атакующий может начать с публично доступного VPN-узла. После успешной эксплуатации он получает возможность запускать команды на самом устройстве.
Ivanti сообщила, что часть проблемы была выявлена раньше и устранена в версии 25.1.3.0, вышедшей в июле. Компания работала над переносом исправления в поддерживаемые ветки, но атаки начались до завершения этой работы. Это знакомый и довольно болезненный сюжет для владельцев инфраструктуры: даже когда корень дефекта уже понятен в новой версии, старые релизные ветки остаются открытым окном для злоумышленников.
Volexity отслеживает группу, стоящую за недавними вторжениями, под именем UTA0576. До этого эпизода она не была известна исследователям. По наблюдениям специалистов, атакующих интересовали кража учётных данных, выгрузка данных, разведка сети и вмешательство в журналы событий. Вредоносное ПО и веб-шеллы они не разворачивали: использовали команды, доступные через скомпрометированное устройство. Такой подход снижает число артефактов, на которые обычно рассчитывают средства защиты и администраторы при расследовании.
Исследователи предполагают, что операторы кампании могли применять большие языковые модели при подготовке атак. Основания — повторное использование канала эксплуатации для выполнения команд и детализированные скрипты с жёстко заданными учётными данными. Это не доказательство конкретного инструмента и не повод списывать каждую аккуратно написанную команду на ИИ. Но для защитников сигнал понятный: злоумышленникам всё проще быстро собирать рабочие сценарии под конкретную среду, а «непрофессионально выглядящая» атака больше не обязательна.
При этом CVE-2026-104935 — не вся цепочка, описанная Volexity. Исследователи говорят о трёх уязвимостях: выпущенные обновления закрывают обход аутентификации и удалённое выполнение кода, а отдельная ошибка повышения привилегий пока остаётся без патча. Ivanti знает о ней и обещает исправление в ближайшие недели. Значит, обновление снижает риск первичного проникновения, но не отменяет необходимость контролировать доступ к устройству и следить за следующими бюллетенями производителя.
Администраторам стоит сопоставить версии своих шлюзов со списком затронутых релизов, установить доступные обновления и регулярно запускать Ivanti Integrity Checker Tool, как рекомендует производитель. Отдельно разумно проверить логи VPN, аутентификацию, создание новых сессий и признаки сетевой разведки или необычных выгрузок данных. Логи в этой истории — не бухгалтерия для аудита, а один из немногих шансов понять, успел ли атакующий закрепиться до установки патча.
Это уже третий год подряд, когда публично нераскрытые на момент атак уязвимости затрагивают Ivanti Connect Secure: аналогичные инциденты раскрывались в январе 2024 и январе 2025 года. Серия превращает уязвимость Ivanti Connect Secure из разового технического бюллетеня в устойчивый риск для периметра. Главный вопрос теперь не только в скорости выхода следующего патча для повышения привилегий, но и в том, сколько организаций обнаружат компрометацию лишь после того, как злоумышленники успеют уйти дальше VPN-шлюза.