Недавно раскрытая уязвимость обхода аутентификации в Ivanti Connect Secure уже используется в атаках, и CISA призывает организации действовать быстро. Отслеживаемая как CVE-2026-104935, эта уязвимость оценена как высокая степень серьезности, и один аналитик, цитируемый в материале Cyber Daily, описывает ее как «невероятно простую» в эксплуатации. Если ваша организация использует этот VPN-шлюз, патч для zero-day уязвимости Ivanti Connect Secure должен переместиться на первое место в вашем списке.

Публичные детали пока ограничены, поэтому в этом посте мы придерживаемся того, что было сообщено, и сосредотачиваемся на практических шагах, которые вы можете предпринять.

Что такое CVE-2026-104935 и почему ее эксплуатируют

CVE-2026-104935 — это обход аутентификации в Ivanti Connect Secure. Простыми словами, обход аутентификации позволяет злоумышленнику пройти мимо этапа входа в систему, который должен не пускать посторонних к системе. Вместо кражи пароля или обмана пользователя атакующий полностью пропускает проверку.

Две детали объясняют, почему это привлекает внимание. Во-первых, уязвимость описывается как zero-day, которую злоумышленники уже использовали. Во-вторых, аналитик назвал ее «невероятно простой» в эксплуатации. Простые уязвимости, не требующие учетных данных и почти не требующие навыков, обычно распространяются быстро, потому что больше атакующих могут их использовать, а автоматизированное сканирование становится практичным.

CISA призвала к быстрым действиям. В исходной статье не приводится дальнейших технических подробностей, таких как номера уязвимых версий или личность атакующего, поэтому проверяйте официальный бюллетень Ivanti для этих деталей, а не полагайтесь на пересказы из вторых рук.

Затронут ли ваш VPN-шлюз? Как проверить признаки компрометации

Начните с основ: подтвердите, используете ли вы вообще Ivanti Connect Secure, включая старые или забытые устройства в филиалах, тестовых средах или облачных развертываниях. Неуправляемые шлюзы часто остаются без патчей.

Затем сравните установленную версию с версиями, указанными в бюллетене Ivanti. Если вы попадаете в диапазон затронутых версий, считайте устройство под угрозой, пока оно не обновлено.

Поскольку, по сообщениям, атаки уже идут, одного патча может быть недостаточно. Обход, эксплуатировавшийся до появления исправления, мог оставить следы. Разумные шаги включают:

  • Проверку журналов аутентификации и административных журналов на предмет неожиданных входов, особенно с незнакомых IP-адресов или в странные часы.
  • Поиск новых или измененных учетных записей, изменений конфигурации или незнакомых файлов на устройстве.
  • Запуск любого инструмента проверки целостности, предоставляемого производителем, и следование его рекомендациям о значении результатов.
  • Проверку того, доступен ли интерфейс управления из публичного интернета, когда в этом нет необходимости.

Если вы найдете что-либо подозрительное, рассматривайте это как инцидент: изолируйте устройство, сохраните журналы и следуйте рекомендациям производителя и CISA, прежде чем снова подключать его к сети.

Шаги по установке патчей и смягчению последствий согласно рекомендациям CISA

Самая четкая инструкция — применить исправление производителя, как только оно станет доступно для вашей версии. Призыв CISA к быстрым действиям сигнализирует о том, что ожидание планового окна обслуживания здесь является рискованным выбором.

Практическая последовательность выглядит так:

  1. Примените обновление. Установите патч от Ivanti или следуйте любым промежуточным мерам защиты, которые опубликует производитель, если исправление для вашего релиза еще недоступно.
  2. Ограничьте доступность. Ограничьте доступ к управлению доверенными сетями и, где возможно, разместите дополнительные средства контроля перед шлюзом.
  3. Смените учетные данные при подозрении на компрометацию. Это касается локальных учетных записей и любых секретов, хранящихся на устройстве или доступных через него.
  4. Мониторьте после. Сохраняйте расширенное журналирование в течение некоторого времени после установки патча, поскольку более раннее вторжение может проявиться не сразу.
  5. Документируйте и сообщайте. Записывайте то, что вы обнаружили и сделали, и следуйте любым обязательствам по отчетности, применимым к вашей организации.

Для точных версий патчей и шагов по смягчению последствий обращайтесь напрямую к Ivanti и CISA, поскольку эти инструкции могут обновляться по мере развития ситуации.

Почему VPN-устройства являются высокоценными целями

VPN-шлюзы находятся на периферии сети и по своему дизайну обращены в интернет. Это делает их доступными для любого, а успешная компрометация может предоставить прямой маршрут к внутренним системам. Атакующие также любят их, потому что эти устройства часто работают с широкими привилегиями и могут обрабатывать учетные данные многих пользователей.

Периферийные устройства также могут быть сложнее для мониторинга, чем ноутбуки или серверы, поскольку они могут не поддерживать те же агенты безопасности. Этот пробел дает атакующим больше времени для работы незамеченными. Эта закономерность является частью более широкого сдвига, в котором атакующие нацеливаются на инфраструктуру, защищающую доступ, — тема, которая также появляется в нашем материале о том, как ИИ переходит от помощника атакующего к автономному оператору в недавних шпионских кампаниях, где скорость и масштаб играют на руку атакующему.

Что это значит для вас

Если вы администрируете Ivanti Connect Secure, это срочная задача: определите свои устройства, установите патч и проверьте признаки компрометации. Не предполагайте, что тихий журнал означает чистое устройство.

Если вы сотрудник или удаленный пользователь корпоративного VPN, вы не можете самостоятельно установить патч на шлюз, но вы можете спросить свою ИТ-команду, затронут ли он и применено ли исправление. Используйте надежные уникальные пароли и многофакторную аутентификацию для своих учетных записей и сообщайте о любых неожиданных запросах на вход или уведомлениях об учетной записи. Учтите, что обход аутентификации может обойти входы в систему, поэтому эти привычки снижают риск, но не заменяют установку патчей.

Если вы используете потребительский VPN-сервис, эта конкретная проблема касается корпоративного продукта Ivanti, а не потребительских приложений. Это все же полезное напоминание о том, что любая система удаленного доступа, обращенная в интернет, нуждается в регулярных обновлениях.

Ключевые выводы

  • Относитесь к патчу для zero-day уязвимости CVE-2026-104935 в Ivanti Connect Secure как к срочному, поскольку атаки, по сообщениям, уже происходят.
  • Подтвердите, какие из ваших шлюзов работают на Ivanti Connect Secure, и проверьте их версии по бюллетеню Ivanti.
  • Проверьте журналы и целостность устройства на предмет признаков компрометации, даже после установки патча.
  • Следуйте рекомендациям CISA и официальным инструкциям Ivanti по мере их обновления.
  • Воспользуйтесь моментом, чтобы пересмотреть, как ваша организация защищает инфраструктуру удаленного доступа, включая доступность интерфейсов управления и мониторинг периферийных устройств.

Сначала патч, потом расследование, и продолжайте наблюдение: такой порядок дает вам наилучший шанс опередить эту угрозу.

FAQ: Q1: Что такое CVE-2026-104935? A1: CVE-2026-104935 — это обход аутентификации в Ivanti Connect Secure, который позволяет злоумышленнику пройти мимо этапа входа в систему, предназначенного для того, чтобы не пускать посторонних к системе. Q2: Почему эта уязвимость считается настолько опасной? A2: Это zero-day уязвимость, которую злоумышленники уже использовали, и аналитик описал ее как «невероятно простую» в эксплуатации, то есть она не требует учетных данных и почти не требует навыков, что способствует ее быстрому распространению. Q3: Как определить, затронута ли моя организация? A3: Подтвердите, используете ли вы Ivanti Connect Secure, включая забытые устройства в филиалах, тестовых средах или облачных развертываниях, затем сравните установленную версию с затронутыми версиями в бюллетене Ivanti. Q4: Достаточно ли только установки патча, если устройство могло уже быть скомпрометировано? A4: Нет, потому что эксплуатировавшийся обход мог оставить следы, поэтому следует проверить журналы аутентификации и административные журналы, поискать новые учетные записи или изменения конфигурации, запустить инструменты проверки целостности от производителя и проверить, доступен ли интерфейс управления из публичного интернета. Q5: Что мне следует сделать в первую очередь для устранения этой уязвимости? A5: Примените исправление производителя, как только оно станет доступно для вашей версии, поскольку CISA призвала к быстрым действиям, а не к ожиданию планового окна обслуживания.

---END---