Уязвимость Ivanti ICS CVE-2026-104935 с оценкой CVSS 8,6 уже применялась в атаках, хотя Ivanti обнаружила часть проблемы и выпустила исправление для актуальной ветки ещё в июле. Для компаний, использующих SSL-VPN и шлюзы удалённого доступа, это неприятное напоминание: «обновлено» не всегда означает «закрыто» — особенно когда патч не дошёл до всех поддерживаемых версий.
Речь идёт о связке обхода аутентификации и удалённого выполнения кода в Ivanti Connect Secure (ICS). Как сообщает Dark Reading, на момент раскрытия Ivanti знала об эксплуатации лишь у ограниченного числа клиентов. Но характер цели меняет приоритет: ICS обычно стоит на периметре сети и принимает подключения из интернета, поэтому атакующему не нужен предварительно скомпрометированный аккаунт, чтобы начать атаку.
Ivanti утверждает, что в июле через собственную программу безопасности обнаружила только часть CVE-2026-104935 и исправила её в версии ICS 25.1.3.0. Затем команда готовила перенос исправления в остальные поддерживаемые версии. Именно в этот промежуток — когда решение уже существует в коде, но ещё не доставлено всем пользователям — злоумышленники успели построить рабочую цепочку. Это не просто задержка релиза: публичное изменение в новой версии способно подсказать исследователям и атакующим, куда смотреть в старых сборках.
Аналитики Volexity обнаружили активность 5 октября при расследовании инцидента у клиента, а началась атака, по их данным, 3 октября. Группировка, отслеживаемая как UTA0576, использовала zero-day-цепочку против устройства, которое на тот момент считалось полностью пропатченным. Помимо CVE-2026-104935 в атаке применялась ещё не раскрытая уязвимость повышения привилегий. В сумме они давали неаутентифицированное выполнение кода с правами root.
После проникновения атакующие извлекали учётные данные с устройства, обращались к Active Directory и удаляли следы эксплуатации из отладочных журналов Ivanti. Конечная цель операции осталась неясной: инцидент удалось обнаружить и остановить. Для защитников это, впрочем, не делает эпизод менее показательным. Периметровый VPN-шлюз — удобная точка входа: компрометация такого узла часто открывает путь к внутренним сервисам и действующим учётным данным без шумных фишинговых кампаний.
Агентство CISA уже добавило CVE-2026-104935 в каталог Known Exploited Vulnerabilities и предписало гражданским федеральным ведомствам США устранить проблему до 16 октября: обновить устройство либо отключить его. Формально балл 8,6 не выглядит максимальным, но в этой ситуации цифра плохо описывает фактический риск. Уязвимость эксплуатируется в реальных атаках, находится на интернет-доступном устройстве и работает в связке с дополнительным багом — для команды ИБ это важнее разницы между «высоким» и «критическим» ярлыком.
Отдельная сложность — расследование. Volexity указывает, что эксплойт может использовать поддельный HTTP-запрос и внутренний заголовок маршрутизации X-DSCGI-PATH. Один из признаков — несоответствие между путём в URL и значением этого заголовка. При этом штатный Integrity Checker Tool от Ivanti может не заметить компрометацию: цепочка вносит изменения в библиотечный код только в памяти и затем восстанавливает данные хранилища конфигурации. Значит, одной проверки целостности мало; нужны анализ сетевой активности и, при подозрении, форензика памяти.
Уязвимость Ivanti ICS показывает проблему шире конкретного вендора. Автоматический поиск дефектов, включая инструменты на базе ИИ, может помочь найти баг раньше противника, но не сокращает сам по себе окно между готовым исправлением и его установкой на всех поддерживаемых версиях. Для владельцев VPN-шлюзов практический вывод скучный, но важный: инвентаризация версий, быстрый rollout патчей, контроль аномалий на периметре и заранее проверенный сценарий изоляции устройства теперь значат больше, чем оптимистичная отметка «последняя версия установлена».