Новоразкрит пропуск в автентикацията в Ivanti Connect Secure вече се използва при атаки и CISA призовава организациите да действат бързо. Проследяван като CVE-2026-104935, недостатъкът е оценен като високорисков, а един анализатор, цитиран в отразяването от Cyber Daily, го описва като „изключително лесен" за експлоатиране. Ако вашата организация използва този VPN шлюз, кръпката за zero-day уязвимостта в Ivanti Connect Secure трябва да се изкачи на върха на списъка ви.

Публичните подробности все още са ограничени, затова тази публикация се придържа към това, което е докладвано, и се фокусира върху практични стъпки, които можете да предприемете.

Какво представлява CVE-2026-104935 и защо се експлоатира

CVE-2026-104935 е пропуск в автентикацията в Ivanti Connect Secure. С прости думи, пропускът в автентикацията позволява на нападател да прескочи стъпката за вход, която е предназначена да държи външни лица далеч от системата. Вместо да открадне парола или да заблуди потребител, нападателят напълно заобикаля проверката.

Два детайла обясняват защо това привлича внимание. Първо, недостатъкът е описан като zero-day, който нападателите вече са атакували. Второ, анализатор го нарече „изключително лесен" за експлоатиране. Простите бъгове, които не изискват идентификационни данни и малко умения, обикновено се разпространяват бързо, защото повече нападатели могат да ги използват и автоматизираното сканиране става практично.

CISA призова за бързи действия. Изходната статия не ни дава допълнителни технически подробности, като номера на засегнати версии или самоличност на нападателя, затова проверете официалното съобщение на Ivanti за тези детайли, вместо да разчитате на преразказана информация.

Засегнат ли е вашият VPN шлюз? Как да проверите за признаци на компрометиране

Започнете с основите: потвърдете дали изобщо използвате Ivanti Connect Secure, включително по-стари или забравени устройства в клонове, тестови среди или облачни внедрявания. Неуправляваните шлюзове често са тези, които остават без кръпки.

След това сравнете инсталираната версия с версиите, посочени в съобщението на Ivanti. Ако сте в засегнат диапазон, приемете, че устройството е изложено на риск, докато не бъде актуализирано.

Тъй като се съобщава, че атаките са в ход, само поставянето на кръпка може да не е достатъчно. Пропуск, който е бил експлоатиран преди да съществува поправка, може да е оставил следи. Разумните стъпки включват:

  • Преглед на логовете за автентикация и администрация за неочаквани влизания, особено от непознати IP адреси или в необичайни часове.
  • Търсене на нови или променени акаунти, промени в конфигурацията или непознати файлове на устройството.
  • Стартиране на всеки инструмент за проверка на целостта, предоставен от доставчика, и следване на неговите указания за това какво означават резултатите.
  • Проверка дали интерфейсът за управление е достъпен от публичния интернет, когато не е необходимо да бъде.

Ако откриете нещо подозрително, третирайте го като инцидент: изолирайте устройството, запазете логовете и следвайте указанията на доставчика и CISA, преди да го върнете онлайн.

Стъпки за поставяне на кръпки и смекчаване съгласно указанията на CISA

Най-ясната инструкция е да приложите поправката на доставчика веднага щом бъде налична за вашата версия. Призивът на CISA за бързи действия сигнализира, че изчакването на рутинен прозорец за поддръжка е рискован избор в този случай.

Практическата последователност изглежда така:

  1. Приложете актуализацията. Инсталирайте кръпката, предоставена от Ivanti, или следвайте всяко междинно смекчаване, което доставчикът публикува, ако поправка все още не е налична за вашата версия.
  2. Ограничете излагането. Ограничете достъпа за управление до доверени мрежи и, където е възможно, поставете допълнителни контроли пред шлюза.
  3. Сменете идентификационните данни, ако се подозира компрометиране. Това включва локални акаунти и всички тайни, съхранявани на или достъпни чрез устройството.
  4. Наблюдавайте след това. Поддържайте повишено ниво на логване за период след поставянето на кръпката, тъй като по-ранно проникване може да не се прояви веднага.
  5. Документирайте и докладвайте. Запишете какво сте открили и направили, и следвайте всички задължения за докладване, които се прилагат за вашата организация.

За точните версии на кръпките и стъпките за смекчаване се обръщайте директно към Ivanti и CISA, тъй като тези инструкции могат да бъдат актуализирани с развитието на ситуацията.

Защо VPN устройствата са цели с висока стойност

VPN шлюзовете се намират в края на мрежата, изправени пред интернет по дизайн. Това ги прави достъпни за всеки, а успешното компрометиране може да предложи директен път към вътрешни системи. Нападателите също ги харесват, защото тези устройства често работят с широки привилегии и може да обработват идентификационни данни за много потребители.

Периферните устройства също може да са по-трудни за наблюдение от лаптопи или сървъри, тъй като може да не поддържат същите агенти за сигурност. Тази празнина дава на нападателите повече време да действат незабелязано. Моделът е част от по-широка промяна, при която нападателите атакуват инфраструктурата, която защитава достъпа — тема, която се появява и в нашия анализ на това как AI се превръща от помощник на нападателя в автономен оператор в скорошни шпионски кампании, където скоростта и мащабът благоприятстват нападателя.

Какво означава това за вас

Ако администрирате Ivanti Connect Secure, това е спешна задача: идентифицирайте устройствата си, поставете кръпки и проверете за признаци на компрометиране. Не предполагайте, че тих лог означава чисто устройство.

Ако сте служител или отдалечен потребител на корпоративен VPN, не можете сами да поставите кръпка на шлюза, но можете да попитате вашия ИТ екип дали е засегнат и дали поправката е приложена. Използвайте силни, уникални пароли и многофакторна автентикация за акаунтите си и докладвайте всякакви неочаквани подкани за вход или сигнали за акаунт. Отбележете, че пропуск в автентикацията може да заобиколи влизанията, така че тези навици намаляват риска, но не заместват поставянето на кръпки.

Ако използвате потребителска VPN услуга, този конкретен проблем засяга корпоративния продукт на Ivanti, а не потребителските приложения. Той все пак е полезно напомняне, че всяка система за отдалечен достъп, изправена пред интернет, се нуждае от редовни актуализации.

Ключови изводи

  • Третирайте кръпката за zero-day уязвимостта CVE-2026-104935 в Ivanti Connect Secure като спешна, тъй като се съобщава, че атаки вече се случват.
  • Потвърдете кои от вашите шлюзове използват Ivanti Connect Secure и проверете версиите им спрямо съобщението на Ivanti.
  • Прегледайте логовете и целостта на устройството за признаци на компрометиране, дори след поставянето на кръпката.
  • Следвайте указанията на CISA и официалните инструкции на Ivanti, докато се актуализират.
  • Възползвайте се от този момент, за да прегледате как вашата организация защитава инфраструктурата за отдалечен достъп, включително излагането на интерфейсите за управление и наблюдението на периферните устройства.

Първо кръпка, после разследване и продължавайте да наблюдавате: този ред ви дава най-добър шанс да изпреварите този проблем.