CISA требует срочно обновить Ivanti Connect Secure: обход авторизации уже в деле

CISA просит немедленно обновить Ivanti Connect Secure. Дыра CVE-2026-104935 — обход авторизации: удалённый человек без учётки может выполнять команды. Затронуты ICS 25.1.1 (сборка 1 и ниже), 25.1.2 (сборка 2 и ниже) и 22.8R2.4 и ниже. Агентство внесло запись в каталог Known Exploited Vulnerabilities; федеральным ведомствам США срок — 16 октября. Пересказ — по The Hacker News.

Что уже видели в сети

Volexity фиксирует эксплуатацию с 3 октября: группировка UTA0576, по их оценке криминальная, а не разведка, складывала обход с повышением прав и получала root без учётки. Дальше — выгрузка паролей с самого VPN-устройства, кусок метаданных Active Directory, Kerberoast, разведка хоста, перехват LDAP и поиск паролей администраторов и ключей BitLocker. Вредоноса и веб-шелла не ставили: команду повторяли через ту же дыру и подчищали журналы, чтобы Integrity Checker Tool Ivanti не заметил.

Defused Cyber пишет, что приманки ловили похожие запросы ещё с 1 октября, до публичного раскрытия. К 14 октября Previdian насчитала 105 попыток с 50 адресов. По словам Райана Дьюхерста, пока чаще проверяют, сработала ли удалённая команда, чем ставят закладку. watchTowr сводит причину к одному заголовку запроса X-DSCGI-PATH: его достаточно, чтобы добраться до внутреннего CGI, который должен быть закрыт.

Если устройство могли задеть

CISA прямо говорит: одной установки пакета мало. Нужны разбор сети и памяти. Если компрометация есть — снять копию конфигурации, сделать заводской сброс или пересобрать виртуальную машину, поставить свежую версию, вернуть конфиг, сменить пароли домена, администраторов и локальных учёток, перевыпустить сертификаты, сбросить ключи API и лицензии. Ветка 22.8 снимается с поддержки 31 января 2027: задержаться на ней — оставить следующий такой цикл.

Где это в модели зрелости

Край с VPN — уязвимости и сеть. Соседний разбор края, где вход уже паролем, — FortiBleed и учётки FortiGate. Как закрывать дыру без очереди на месяц — от скана до закрытия.

Как проверить

Выпишите все Ivanti Connect Secure: версия, кто администрирует, смотрит ли интерфейс в интернет. Сверьте с бюллетенем вендора и руководством по обновлению. В журнале периметра и на самом устройстве ищите входящие запросы с заголовком X-DSCGI-PATH.

Не оставляйте «патч накатили» без акта и без просмотра новых локальных учёток. Если есть сомнение — заводской сброс по чек-листу CISA, не «перезалили пакет поверх». Integrity Checker Tool сам по себе не доказательство чистоты: в этой кампании журналы подчищали. Сверьте время патча с первым подозрительным запросом, а не с датой бюллетеня.

Первые сутки своего инцидента — отдельный порядок. Автообновления Debian рядом с таким краем не заменяют ручной проверки VPN — отдельный разбор.

Источники

• The Hacker News. CISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts. URL: https://thehackernews.com/2026/10/cisa-urges-immediate-ivanti-connect.html.