Атаки на шлюз удалённого доступа Ivanti Connect Secure затронули ограниченное число клиентов, сообщила компания. Злоумышленники сочетали несколько уязвимостей и получали полный контроль над устройством. Исправление первой ошибки вышло ещё в октябре, но для защиты от всей цепочки администраторам требуется новое обновление. Сотрудникам, которые подключаются через VPN, самостоятельно обновлять свои компьютеры не нужно.
Новые исправления закрывают CVE-2026-111357 и CVE-2026-118527. Первая позволяет повысить привилегии на устройстве, вторая связана с загрузкой файлов пользователем, прошедшим аутентификацию. В атаках их сочетали с CVE-2026-104935, которая позволяла обойти проверку доступа. Ivanti исправила эту уязвимость раньше, но два других звена цепочки тогда оставались без заплаток.
Volexity обнаружила атаки на Connect Secure, уже работавший на актуальной на тот момент версии 22.8R2.4. Исследователи установили, что группа, которой они присвоили обозначение UTA0576, использовала цепочку как минимум с 3 октября. Компания Defused сообщила о признаках эксплуатации первой уязвимости с 1 октября. По данным Ivanti, атака затронула ограниченное число клиентов.
На первом этапе злоумышленник отправлял запрос к доступной без входа странице, добавляя к нему адрес внутреннего процесса. Устройство разрешало запрос как обращение к странице входа, но направляло его внутреннему процессу. Затем атакующий использовал функцию загрузки файлов: она временно сохраняла полученный файл под предсказуемым именем. До удаления файла можно было успеть запустить помещённую в него программу.
Полученный таким способом доступ имел ограниченные права. Чтобы повысить их до уровня root, атакующий изменял в памяти настройки процесса обслуживания устройства. После этого процесс запускал команды злоумышленника с максимальными привилегиями. По данным Volexity, атакующие не оставляли вредоносную программу или веб-оболочку для постоянного доступа. Вместо этого они заново использовали цепочку для каждой команды и удаляли часть записей журнала.
В расследованной Volexity организации атакующие извлекли учётные данные, которые устройство использовало для подключения к внутренней системе управления входом. Они также получили часть сведений из Active Directory, искали пароли администраторов и ключи восстановления BitLocker, пробовали один пароль для множества учётных записей и записывали проходящий через устройство трафик. Конечную цель атаки исследователи установить не смогли.
Удаление записей и работа с изменениями в памяти осложняют проверку устройства после атаки. Volexity сообщила, что инструмент Ivanti Integrity Checker Tool не обнаруживал такие изменения. CISA также предупреждает, что его может быть недостаточно для выявления следов взлома. Само обновление закрывает уязвимости, но не показывает, был ли шлюз скомпрометирован до установки исправлений.
Исправления для двух оставшихся уязвимостей вышли 29 октября. В обновлённом уведомлении CISA к затронутым отнесены версии 25.1.1.2 и более ранние в серии 25.1.1, 25.1.2.2 и более ранние в серии 25.1.2, а также 22.8R2.5 и более ранние в серии 22.8. Устройствам с исправлением первой уязвимости, выпущенным ранее, может потребоваться ещё одно обновление.
В сообщении с разбором рекомендаций Ivanti названы исправленные версии 25.1.1.3, 25.1.3.1 и 22.8R2.6. Подходящая версия зависит от модели устройства, поэтому администраторам нужно сверить её с инструкцией для своей серии. При подозрении на взлом до перезапуска или сброса устройства следует сохранить журналы и содержимое памяти: после перезапуска данные из памяти будут утрачены.
CISA включила две оставшиеся уязвимости в каталог ошибок, которые уже используют в атаках. Для федеральных ведомств США установлен срок устранения CVE-2026-111357 до 2 ноября, а CVE-2026-118527 — до 13 ноября. Shadowserver отслеживает более 5000 экземпляров Connect Secure, доступных из интернета. Сколько из них уже защищены от этих атак, неизвестно.
В октябре Ivanti выпустила патч после атак на обновлённые шлюзы, однако отдельное исправление для повышения привилегий тогда ещё готовилось. Нынешнее обновление закрывает оставшиеся звенья той же цепочки атак.
