Атакуващ е комбинирал три уязвимости от тип нулев ден в VPN устройството Ivanti Connect Secure, за да изпълнява команди с root права без автентикация, съобщи компанията за сигурност Volexity на 13 октомври. Ivanti пусна корекции за две от уязвимостите и призова клиентите със засегнати версии да „действат незабавно“. Според Volexity отстраняването на третата уязвимост все още се очаква.

Volexity, която е докладвала уязвимостите на Ivanti, е открила атаката на устройство на свой клиент. По това време на устройството са били инсталирани всички налични корекции за сигурност и то е работило с версия 22.8R2.4. Атакуващият, проследяван от Volexity под кодовото име UTA0576, е започнал експлоатацията на 3 октомври.

От Ivanti заявиха на 13 октомври, че са запознати с „ограничена експлоатация в реална среда“.

Първите две уязвимости представляват заобикаляне на автентикацията и отдалечено изпълнение на произволен код, проследявани заедно като CVE-2026-104935. В комбинация те позволяват на нападателя да изпълнява код с правата на потребителя cgi-server на устройството, а третата уязвимост – ескалация на привилегии – повишава тези права до root, посочва Volexity.

Записът за CVE, публикуван от Ivanti, показва кои версии на Connect Secure са засегнати:

  • Засегнати: Connect Secure „преди версия 25.1.3.0“
  • Незасегнати: версия 22.7R2.14 „или по-ранна“
  • Посочени като незасегнати: версии 22.8R2.5, 25.1.3.0 и 25.1.3.1

Бюлетинът за сигурност на Ivanti съдържа повече подробности относно засегнатите версии и наличните корекции за сигурност.

Бележките по изданието за версия 25.1.3.0 са от юли 2026 г. Клиентите, които вече използват тази версия, са извън обхвата, посочен в записа на CVE.

Ivanti работи по отстраняване на уязвимостта за ескалация на привилегии, което ще бъде включено „в бъдещо издание през следващите седмици“, заявява Volexity. Докладът не уточнява какво ниво на риск носи тази уязвимост на устройства, при които първите две вече са коригирани.

Ivanti съветва потребителите да обновят софтуера и редовно да стартират инструмента за проверка на целостта (Integrity Checker Tool). Според Volexity този инструмент пропуска текущата верига от уязвимости, тъй като експлойтът променя библиотечния код само в оперативната памет и възстановява променените конфигурационни данни. Атакуващият също така е предприел мерки, за да остане незабелязан от инструмента.

Потвърждаването на компрометиране изисква форензик анализ, включително анализ на мрежовия трафик и оперативната памет, според Volexity. Следните индикатори са установени при разследвания инцидент:

  • URL път: /dana-na/auth/url_default/welcome.cgi, към който са отправени голям брой заявки
  • HTTP заглавка: X-DSCGI-PATH в тези заявки, със стойност, която не съответства на URL пътя
  • Директория: /data/.icscap/
  • IP адрес: 108.165.147[.]64, хостът, използван от атакуващия

При този инцидент киберпрестъпникът е откраднал съхранени идентификационни данни, включително домейнови данни за LDAP, търсил е пароли в Active Directory и е извършил атаки за пръскане на пароли (password spraying) срещу корпоративни акаунти. Не е оставен заден вход (backdoor) или уеб шел (web shell). Атакуващият е изпълнявал повторно цялата експлойт верига за всяка отделна команда.

Докладът на Volexity и съобщението на Ivanti не посочват временни мерки за защита за потребителите, които все още не могат да инсталират обновлението. В тях не се уточнява и дали обновяването премахва вече установен от атакуващ достъп.

Volexity оценява с ниска степен на увереност, че мотивът на UTA0576 е чисто криминален, а не шпионаж. Нито една от двете компании не съобщава колко клиенти са били засегнати.

Ivanti оценява CVE-2026-104935 с 8.6 от 10 по скалата за тежест CVSS. В собствения си запис за уязвимостта Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (CISA) отбелязва експлоатацията като „активна“, а техническото въздействие – като „пълно“ (total).

Отделно, същото съобщение на Ivanti описва корекции за сигурност за други два продукта – Xtraction и Neurons Patch for Intune, като Ivanti заявява, че няма данни за активна експлоатация на тези уязвимости. Всеки от продуктите съдържа уязвимост с оценка от Ivanti 9.9 от 10: CVE-2026-106042 в Xtraction преди версия 2026.4 и CVE-2026-109412 в Neurons Patch for Intune.