Кибербезопасность

Ivanti выпускает патчи для ещё двух zero-day уязвимостей Connect Secure с 1 октября

2 ноября 2026 г.5 мин чтения

By Джеймс Окафор — Сертифицирован по CIPP/E, специалист по цифровым правам и законодательству о конфиденциальности

Ivanti выпускает патчи для ещё двух zero-day уязвимостей Connect Secure с 1 октября

Ivanti выпустила обновления безопасности для ещё двух уязвимостей в своём шлюзе удалённого доступа Connect Secure (ICS), и, по словам компании, они использовались совместно в атаках нулевого дня как минимум с 1 октября. Если ваша организация использует это устройство, этот патч для zero-day уязвимости Ivanti Connect Secure стоит приоритизировать.

Доступные на данный момент подробности ограничены, поэтому в этом посте мы придерживаемся того, что было сообщено, и сосредотачиваемся на практических шагах для администраторов и сотрудников, которые полагаются на этот шлюз.

Что исправила Ivanti и когда начались атаки

Согласно отчёту, Ivanti выпустила обновления, охватывающие две дополнительные уязвимости в Connect Secure — шлюзе удалённого доступа, который многие организации используют, чтобы сотрудники могли подключаться к внутренним системам извне офиса. Уязвимости эксплуатировались как zero-day, то есть атакующие использовали их до появления исправления.

Ключевая деталь таймлайна: атаки происходят как минимум с 1 октября. Формулировка «как минимум» важна: она указывает на то, что это самая ранняя подтверждённая на данный момент активность, а не обязательно первая. Организациям, которые использовали неисправленные устройства в этот период, следует учитывать возможность того, что они были подвержены воздействию, а не предполагать, что одного лишь исправления достаточно, чтобы закрыть вопрос.

Уязвимости также были объединены в цепочку, что означает, что атакующие комбинировали их, а не полагались на одну ошибку. Эта деталь определяет, как защитникам следует оценивать риск.

Почему цепные эксплойты на VPN-шлюзах так опасны

Шлюз удалённого доступа находится на границе сети. Он по своей конструкции доступен из интернета и пользуется доверием для подключения внешних пользователей к внутренним ресурсам. Это сочетание делает его высокоценной целью: успешный взлом может обеспечить точку опоры в месте, которое одновременно открыто и хорошо связано с сетью.

Объединение в цепочку делает ситуацию серьёзнее. Одна уязвимость может дать атакующему ограниченный доступ, а вторая — расширить этот доступ или превратить его в нечто более мощное. Используемые вместе, две уязвимости, каждая из которых по отдельности может быть управляемой, могут сложиться в гораздо более крупную проблему. Защитники, которые проводят триаж, рассматривая каждую ошибку изолированно, могут недооценить реальное воздействие.

Это также часть более широкой картины. В нашем предыдущем материале об обходе аутентификации Ivanti Connect Secure, отслеживаемом как CVE-2026-104935, описывалась ещё одна уязвимость в том же продукте, которая уже использовалась в атаках. Вторая волна zero-day в том же шлюзе подчёркивает, почему эти устройства заслуживают пристального внимания.

Как проверить, исправлен ли ваш рабочий VPN-шлюз

Если вы администрируете Connect Secure, начните с основ:

Подтвердите версию вашего устройства. Проверьте текущую запущенную версию и сравните её с исправленными выпусками, указанными в бюллетене безопасности Ivanti для этих двух уязвимостей.
Просмотрите историю обновлений. Убедитесь, что обновление действительно было применено и устройство перезагружено в исправленную сборку, а не просто загружено.
Оглянитесь на 1 октября. Поскольку атаки датируются как минимум этим днём, просмотрите журналы и любые результаты проверки целостности за этот период и позже.
Проверьте наличие связанных исправлений. Убедитесь, что более ранние патчи, включая исправление для проблемы CVE-2026-104935, также установлены.

Если вы сотрудник, а не администратор, вы не можете самостоятельно установить патч на устройство, но можете спросить у своей команды ИТ или безопасности, получил ли шлюз Connect Secure последнее обновление. Короткий прямой вопрос разумен и часто приветствуется.

Что делать, если ваше устройство Connect Secure не обновлено

Примените патчи как можно скорее, насколько позволяет ваш процесс внесения изменений. Поскольку эти уязвимости эксплуатируются в реальных атаках, ожидание планового окна обслуживания несёт реальный риск.

Пока вы готовитесь к обновлению, рассмотрите возможность ограничить круг лиц, имеющих доступ к интерфейсам управления устройством, и следуйте любым промежуточным рекомендациям по смягчению последствий, которые предоставляет Ivanti. После установки патчей запустите инструменты проверки целостности производителя, если они доступны, и поищите необычные сессии, неожиданные изменения конфигурации или учётные записи, которые вы не узнаёте. Если вы обнаружите признаки компрометации, рассматривайте это как инцидент: изолируйте устройство, сохраните журналы и привлеките свою команду реагирования на инциденты, прежде чем сбрасывать учётные данные, которые могли проходить через шлюз.

Что это значит для вас

Для администраторов посыл прост: проверьте свою версию, установите патч и исследуйте период с 1 октября. Исправленное устройство не становится автоматически чистым, если оно было подвержено воздействию до обновления.

Для обычных пользователей корпоративного VPN устанавливать какое-либо программное обеспечение на своё устройство для решения этой проблемы не требуется, поскольку уязвимый компонент — это сам шлюз. Тем не менее, это хороший момент, чтобы использовать надёжные уникальные пароли, включить многофакторную аутентификацию там, где она предлагается, и сообщать о любых странностях, таких как неожиданные запросы на вход или оповещения о входе в систему.

Ключевые выводы

Ivanti выпустила обновления для ещё двух уязвимостей Connect Secure, объединённых в цепочку в атаках нулевого дня как минимум с 1 октября.
Шлюзы удалённого доступа — привлекательные цели, поскольку они доступны из интернета и пользуются доверием.
Цепные уязвимости могут быть более разрушительными, чем каждая ошибка по отдельности.
Подтвердите версию вашего устройства, установите патч для zero-day уязвимости Ivanti Connect Secure сейчас и просмотрите активность с 1 октября и позже.
Для понимания общей картины прочитайте наш предыдущий отчёт об обходе аутентификации CVE-2026-104935.

Если вы используете или администрируете Ivanti Connect Secure, проверьте свою версию сегодня и установите обновления без промедления.

// FAQ

Что исправила Ivanti в Connect Secure?

Ivanti выпустила обновления безопасности для ещё двух уязвимостей в своём шлюзе удалённого доступа Connect Secure. Компания сообщает, что эти уязвимости были объединены в цепочку в атаках нулевого дня.

Когда начались атаки с использованием этих уязвимостей?

Атаки происходят как минимум с 1 октября. Формулировка «как минимум» указывает на то, что это самая ранняя подтверждённая активность, а не обязательно первая.

Что означает, что уязвимости были объединены в цепочку?

Объединение в цепочку означает, что атакующие комбинировали две уязвимости, а не полагались на одну ошибку. Одна уязвимость может дать ограниченный доступ, а вторая расширяет этот доступ или делает его более мощным.

Почему цепные эксплойты на VPN-шлюзах так опасны?

Шлюз удалённого доступа по своей конструкции доступен из интернета и пользуется доверием для подключения внешних пользователей к внутренним ресурсам, что делает успешный взлом точкой опоры, одновременно открытой и хорошо связанной с сетью. Объединение двух уязвимостей в цепочку может сложиться в гораздо более крупную проблему, чем каждая ошибка, управляемая по отдельности.

Как проверить, исправлен ли мой рабочий VPN-шлюз?

Подтвердите версию вашего устройства и сравните её с исправленными выпусками, указанными в бюллетене безопасности Ivanti, затем просмотрите историю обновлений, чтобы убедиться, что обновление действительно было применено и устройство перезагружено в исправленную сборку. Поскольку атаки датируются как минимум 1 октября, также просмотрите журналы и любую информацию о целостности за этот период.