Еженедельный обзор безопасности за период с 7 по 14 октября 2026 года от Sherlock Forensics, главной темой которого стала цепочка эксплойтов Ivanti VPN со стиранием логов: описанная последовательность атаки, которая уничтожает собственные следы после выполнения. В том же обзоре отмечены рекордный вторник патчей с 1413 CVE, перехваченные резервные серверы у поставщиков управляемых услуг (MSP) и закрытие Pwn2Own Ireland с 98 zero-day уязвимостями. Исходное резюме краткое, поэтому этот пост придерживается того, что в нём сказано, и объясняет, что это значит на практике.

Что делает цепочка эксплойтов Ivanti

Согласно обзору, цепочка Ivanti VPN стирает собственные логи. Эта деталь важнее, чем может показаться на первый взгляд. Логи — это основной источник записей, который используют защитники, чтобы выяснить, был ли получен доступ к устройству, что делал злоумышленник и когда это произошло. Эксплойт, удаляющий собственные записи, оставляет администраторам систему с чистым видом и без очевидного следа.

Практический эффект в том, что обычный вопрос «показывают ли логи что-то подозрительное?» становится ненадёжным. Пустой или аккуратный лог больше не является доказательством исправного устройства. В резюме не приводятся технические подробности, такие как затронутые версии или идентификаторы, поэтому администраторам следует опираться на собственные рекомендации Ivanti для точного определения масштаба.

Подвержены ли риску пользователи потребительских VPN?

Для большинства частных лиц ответ — нет, по крайней мере напрямую. Описанная цепочка нацелена на корпоративные VPN-шлюзы Ivanti — устройства, которые организации используют, чтобы сотрудники могли подключаться к корпоративным сетям. Она не описывается как атака на потребительские VPN-приложения, которые люди устанавливают на телефон или ноутбук для защиты своего просмотра.

Тем не менее есть косвенные способы, которыми это может коснуться обычных людей:

  • Если вы подключаетесь к сети работодателя через шлюз Ivanti, значение имеет подверженность риску вашей организации. Ваше личное устройство не является слабым местом, но данные, проходящие через шлюз, могут им быть.
  • Если вы являетесь клиентом компании, которая использует такой шлюз, скомпрометированный шлюз может стать путём к системам, хранящим данные клиентов.
  • Если вы управляете малым бизнесом или работаете в ИТ, именно вы можете быть тем, кто отвечает за установку патчей на устройство.

Короче говоря, домашние пользователи потребительских VPN-сервисов не являются описанной целью, но эта история — хорошее напоминание о том, что VPN — это программное обеспечение и оборудование с собственными уязвимостями, а не волшебный щит.

Как проверить патчи и индикаторы компрометации

Поскольку цепочка, по сообщениям, стирает логи, проверка должна выходить за рамки их чтения. Администраторы могут предпринять следующие шаги:

  1. Подтвердите уровень патчей. Сверьте текущую версию вашего устройства с последним рекомендацией по безопасности производителя и примените все доступные обновления.
  2. Используйте инструменты целостности производителя, но не считайте их окончательными. Они полезны, но чистый результат не должен быть вашим единственным доказательством.
  3. Полагайтесь на независимое логирование. Пересылайте логи во внешнюю систему (отдельный сервер логов или SIEM) в реальном времени, чтобы злоумышленник, стирающий локальные записи, не мог удалить копию.
  4. Ищите пробелы, а не только события. Необъяснимые бреши в хронологии логов, внезапные ротации логов или отсутствующие периоды сами по себе могут быть предупреждающим знаком.
  5. Проверяйте записи на стороне сети. Логи межсетевого экрана, DNS и аутентификации из других систем могут показать необычные подключения к шлюзу или от него, даже если собственные записи шлюза утрачены.
  6. При сомнениях смените учётные данные. Если вы не можете исключить компрометацию, сброс учётных записей и секретов, связанных с устройством, будет разумным шагом.

Если вы подозреваете взлом, рассмотрите возможность привлечения специалиста по реагированию на инциденты, поскольку самоочищающуюся атаку трудно оценить в одиночку.

Почему рекордный вторник патчей и перехват резервных серверов MSP повышают ставки

Пункт об Ivanti появился не сам по себе. В обзоре также отмечен рекордный вторник патчей с 1413 CVE, что означает, что ИТ-команды сталкиваются с очень большим объёмом исправлений для сортировки одновременно с необходимостью патчить пограничные устройства, такие как VPN-шлюзы. Когда всё срочно, приоритизация становится настоящей проблемой, и устройства, доступные из интернета, должны находиться near the top of the list.

В обзоре также сообщается о перехвате резервных серверов MSP. Резервные копии предназначены быть страховочной сетью, а MSP одновременно имеют доступ ко многим клиентским средам, поэтому компрометация этого уровня может многократно усилить ущерб. В сочетании с атаками со стиранием логов это подчёркивает, почему организациям следует хранить офлайн- или неизменяемые резервные копии и независимый мониторинг.

Для более широкого контекста о том, как злоумышленники объединяют уязвимости в цепочки, см. наш материал об AI-цепочке zero-day и 543 тыс. открытых живых секретов. Ещё один недавний еженедельный обзор ландшафта угроз читайте в обзоре безопасности от 11 октября.

Что это значит для вас

Если вы используете потребительское VPN-приложение, эта история не повод для паники или отказа от него. Держите приложение обновлённым, как и любое другое программное обеспечение. Если вы работаете в организации, использующей Ivanti, спросите у вашей ИТ- или службы безопасности, пропатчен ли шлюз и хранятся ли логи в месте, недоступном злоумышленнику. Если вы сами администрируете такое устройство, воспринимайте цепочку эксплойтов Ivanti VPN со стиранием логов как повод проверить, а не предполагать.

Ключевые выводы

  • Убедитесь, что ваше VPN-устройство или клиент полностью пропатчены в соответствии с последними рекомендациями производителя.
  • Не доверяйте только локальным логам; отправляйте их в независимую систему и проверяйте другие сетевые записи.
  • Уделяйте приоритет шлюзам, доступным из интернета, в периоды интенсивных циклов патчей.
  • Храните резервные копии изолированно, чтобы перехваченный резервный сервер не мог свести на нет ваш план восстановления.

Цепочка эксплойтов Ivanti VPN со стиранием логов — напоминание о том, что отсутствие доказательств не является доказательством безопасности. Проверьте статус патчей сегодня и просматривайте логи независимыми средствами, а не с помощью самого устройства.