В петък CISA добави две нови уязвимости в Ivanti Connect Secure (CVE-2026-111357, CVE-2026-118527) към своя каталог с известни експлоатирани уязвимости (Known Exploited Vulnerabilities), след като Ivanti актуализира по-ранно известие за сигурност с подробности за пропуските.

Три уязвимости, свързани във верига за получаване на плацдарм

CVE-2026-111357 е уязвимост от типа липса на автентикация за критична функция, която позволява на локален автентикиран атакуващ да повиши привилегиите си. CVE-2026-118527 е „Уязвимост при генериране на предвидими числа или идентификатори“, която прави възможно отдалеченото качване на файлове от автентикиран потребител. И двете са били експлоатирани като zero-day уязвимости в комбинация с трети пропуск: CVE-2026-104935, уязвимост за заобикаляне на автентикацията и отдалечено изпълнение на код (RCE).

Според изследователите от Volexity, които са открили атаката и са я докладвали на Ivanti, атакуващите са превръщали SSL VPN устройствата в скрит плацдарм в мрежите на набелязаните организации.

„Тъй като операцията е била засечена и прекратена, крайните цели на автора на заплахата не могат да бъдат определени. Volexity обаче оценява с висока степен на увереност, че действията на UTA0576 са указвали подготовка за латерално придвижване и по-широко компрометиране на мрежата на жертвата“, заявяват изследователите.

Изследователите от Rapid7 отбелязват, че атакуващите са крали идентификационни данни и са отправяли заявки към Active Directory за пароли на Windows LAPS и ключове за възстановяване на BitLocker.

Първо корекция, после проследяване

CISA разпореди на федералните цивилни агенции в САЩ да отстранят CVE-2026-111357 до 2 ноември 2026 г., както и да извършат форензичен триаж и да проверят за евентуално компрометиране. За CVE-2026-118527 крайният срок е 13 ноември.

И трите уязвимости са отстранени от Ivanti, а клиентите, използващи SSL VPN устройството Connect Secure, се съветват да инсталират предоставените обновявания.

Rapid7 препоръчва след инсталирането на корекциите да се провери за компрометиране.

„Volexity съобщава, че наблюдаваната активност заобикаля Integrity Checker Tool на Ivanti, така че чист резултат не изключва компрометиране. Запазете паметта и дневниците (логовете) преди рестартиране или нулиране, когато е възможно. При съмнение за компрометиране следвайте стъпките за възстановяване на Ivanti и сменете потенциално изложените идентификационни данни“, съветва компанията и предоставя насоки за търсене на заплахи (threat hunting).

Volexity също споделя списък с индикатори за компрометиране, свързани с тази кампания, както и полезни YARA правила.

  • zero-day
  • CISA
  • корпоративна сигурност
  • правителство
  • Ivanti
  • Rapid7
  • Volexity