CISA закликало терміново оновити Ivanti Connect Secure через zero-day
CISA закликало негайно оновити Ivanti Connect Secure через уразливість CVE-2026-104935, яку використовують у zero-day атаках.
Агентство США з кібербезпеки та безпеки інфраструктури CISA закликало адміністраторів негайно оновити Ivanti Connect Secure через уразливість CVE-2026-104935, яку зловмисники використовують у zero-day атаках щонайменше з 1 жовтня.
За даними BBC News, уразливість високого рівня небезпеки дає віддаленим неавторизованим зловмисникам змогу виконувати довільні команди на вразливих системах Ivanti Connect Secure. Для атаки не потрібна взаємодія користувача, а її складність оцінюють як низьку.
Оновлення вже доступні
Ivanti випустила виправлення у версіях Connect Secure 22.8R2.5, 25.1.3.0, 25.1.3.1 та 25.1.1.2. Компанія повідомила про обмежені випадки експлуатації вразливості та закликала клієнтів діяти негайно.
Дослідницька компанія Volexity заявила, що відстежуваний нею невідомий актор UTA0576 з 3 жовтня поєднував цю проблему з двома іншими вразливостями. За її даними, ланцюжок атак забезпечував неавторизоване виконання коду з правами root. Дослідники зафіксували дії, спрямовані на отримання облікових даних Active Directory, зокрема паролів Local Administrator Password Solution та ключів відновлення BitLocker.
Рекомендації CISA для скомпрометованих систем
CISA внесло CVE-2026-104935 до переліку вразливостей, які активно експлуатують, і зобов’язало федеральні цивільні відомства США захистити мережі до п’ятниці. Агентство також порадило всім організаціям з уразливими пристроями Ivanti Connect Secure негайно встановити останню версію та перевірити системи на ознаки компрометації.
Для виявлення атаки можуть знадобитися аналіз мережевих даних і пам’яті, оскільки інструмент Ivanti Integrity Checker може не виявити слідів експлуатації: команди зловмисників виконуються в пам’яті. У разі компрометації CISA радить створити резервну копію конфігурації, скинути пристрій до заводських налаштувань і оновити його, відновити конфігурацію, а також змінити паролі, перевипустити сертифікати й скинути збережені API-ключі та облікові дані сервера ліцензування.
Сервіс Shadowserver відстежує понад 5 600 доступних з інтернету хостів із ознаками Ivanti Connect Secure. Водночас невідомо, скільки з них уже захищені від атак або є приманками для фіксації зловмисної активності.
