VPN-шлюз, который должен защищать вход в корпоративную сеть, сам превратился в точку взлома. Ivanti предупредила об активной эксплуатации уязвимости CVE-2026-104935 в Connect Secure. Брешь получила 8,6 балла по CVSS 3.1 и позволяет удалённо выполнять команды без учётной записи и действий пользователя.
Проблема оказалась частью более сложной атаки. Volexity обнаружила цепочку из трёх zero-day на полностью обновлённом на тот момент Connect Secure 22.8R2.4. Неизвестный злоумышленник UTA0576 начал использовать цепочку 3 октября, а расследование инцидента стартовало двумя днями позже.
Первые две ошибки Ivanti объединила под CVE-2026-104935. Сначала специально сформированный запрос к публичному welcome.cgi перенаправляется на закрытый CGI-обработчик, обходя аутентификацию. Затем атакующий загружает Perl-код под видом ZIP-файла и успевает выполнить его в коротком промежутке между записью временного файла и проверкой архива.
Третий zero-day повышает права от пользователя cgi-server до root. Эксплойт меняет библиотеку Ivanti только в памяти, подменяет параметры задачи в хранилище DSCache и заставляет привилегированный сервис dsinvoked запустить вредоносный Perl-код. После выполнения команда восстанавливает изменённые данные, поэтому следов на диске почти не остаётся. Исправление для этой ошибки Ivanti пока готовит.
Получив root-доступ, UTA0576 искал секреты внутри корпоративной сети. Volexity зафиксировала кражу LDAP-учётных данных, выгрузку метаданных Active Directory, поиск паролей LAPS и ключей восстановления BitLocker, перехват LDAP-трафика и password spraying. Активность указывала на подготовку дальнейшего перемещения по сети, однако конечную цель атаки установить не удалось.
Злоумышленник не устанавливал постоянный бэкдор или веб-шелл. Для каждой новой команды цепочка запускалась заново, а результат возвращался через тот же HTTPS-запрос. Вредоносный код также удалял записи из журналов и восстанавливал изменённые структуры памяти. Из-за такой техники Integrity Checker Tool, который Ivanti советует регулярно запускать, способен пропустить компрометацию.
Ivanti выпустила исправления 25.1.1.2, 25.1.3.0, 25.1.3.1 и 22.8R2.5 для соответствующих веток Connect Secure. Компания заявила лишь об ограниченном числе атак, однако CISA уже внесло CVE-2026-104935 в каталог эксплуатируемых уязвимостей. Shadowserver насчитывает более 5500 доступных из интернета экземпляров Connect Secure, хотя число реально уязвимых устройств неизвестно.
Volexity советует не ограничиваться установкой обновления и проверить сетевую активность, временные каталоги и память устройств. При подозрении на взлом требуется полноценная криминалистическая проверка. Для Ivanti такой сценарий уже знаком: летом злоумышленники начали атаковать Sentry почти сразу после публикации исправления для другой критической ошибки.