Нещодавно розкрита вразливість обходу автентифікації в Ivanti Connect Secure вже використовується в атаках, і CISA закликає організації діяти швидко. Відома як CVE-2026-104935, ця вразливість оцінюється як високого рівня небезпеки, і один аналітик, цитований у матеріалі Cyber Daily, описує її як «неймовірно просту» для експлуатації. Якщо ваша організація використовує цей VPN-шлюз, патч для zero-day вразливості Ivanti Connect Secure має переміститися на верхівку вашого списку.
Публічні деталі все ще обмежені, тому цей пост дотримується того, що було повідомлено, і зосереджується на практичних кроках, які ви можете вжити.
Що таке CVE-2026-104935 і чому її експлуатують
CVE-2026-104935 — це обхід автентифікації в Ivanti Connect Secure. Простими словами, обхід автентифікації дозволяє зловмиснику оминути крок входу, який має захищати систему від сторонніх. Замість того щоб викрасти пароль або обдурити користувача, зловмисник повністю пропускає перевірку.
Дві деталі пояснюють, чому це привертає увагу. По-перше, вразливість описана як zero-day, яку зловмисники вже використовували. По-друге, аналітик назвав її «неймовірно простою» для експлуатації. Прості вразливості, які не потребують облікових даних і майже не вимагають навичок, зазвичай поширюються швидко, оскільки більше зловмисників можуть їх використовувати, а автоматизоване сканування стає практичним.
CISA закликала до швидких дій. У вихідній статті не наведено додаткових технічних деталей, таких як номери вразливих версій або особа зловмисника, тому перевіряйте офіційну рекомендацію Ivanti щодо цих деталей, а не покладайтеся на переказ із других рук.
Чи уражений ваш VPN-шлюз? Як перевірити ознаки компрометації
Почніть з основ: підтвердьте, чи ви взагалі використовуєте Ivanti Connect Secure, включаючи старіші або забуті пристрої у філіях, тестових середовищах або хмарних розгортаннях. Некеровані шлюзи часто залишаються без патчів.
Потім порівняйте встановлену версію з версіями, зазначеними в рекомендації Ivanti. Якщо ви потрапляєте в уражений діапазон, вважайте пристрій під загрозою, доки його не буде оновлено.
Оскільки, за повідомленнями, атаки вже тривають, самого лише патчування може бути недостатньо. Обхід, який експлуатувався до появи виправлення, міг залишити сліди. Розумні кроки включають:
- Перегляд журналів автентифікації та адміністрування на предмет неочікуваних входів, особливо з незнайомих IP-адрес або в нетиповий час.
- Пошук нових або змінених облікових записів, змін конфігурації чи незнайомих файлів на пристрої.
- Запуск будь-якого інструменту перевірки цілісності, наданого постачальником, і дотримання його рекомендацій щодо інтерпретації результатів.
- Перевірку того, чи доступний інтерфейс управління з публічного інтернету, коли це не потрібно.
Якщо ви виявите щось підозріле, розглядайте це як інцидент: ізолюйте пристрій, збережіть журнали та дотримуйтеся рекомендацій постачальника і CISA, перш ніж повертати його в мережу.
Кроки патчування та пом'якшення відповідно до рекомендацій CISA
Найчіткіша вказівка — застосувати виправлення постачальника, щойно воно стане доступним для вашої версії. Заклик CISA до швидких дій сигналізує, що очікування звичайного вікна обслуговування тут є ризикованим вибором.
Практична послідовність виглядає так:
- Застосуйте оновлення. Встановіть патч, наданий Ivanti, або дотримуйтеся будь-якого проміжного пом'якшення, яке публікує постачальник, якщо виправлення ще недоступне для вашого випуску.
- Обмежте доступність. Обмежте доступ до управління довіреними мережами та, де можливо, розмістіть додаткові засоби контролю перед шлюзом.
- Змініть облікові дані, якщо підозрюється компрометація. Це стосується локальних облікових записів і будь-яких секретів, що зберігаються на пристрої або доступні через нього.
- Моніторте після цього. Залишайте підвищене журналювання протягом певного часу після патчування, оскільки попереднє вторгнення може проявитися не відразу.
- Документуйте та повідомляйте. Записуйте те, що ви виявили та зробили, і дотримуйтеся будь-яких зобов'язань щодо звітності, які застосовуються до вашої організації.
Щодо точних версій патчів і кроків пом'якшення покладайтеся безпосередньо на Ivanti та CISA, оскільки ці інструкції можуть оновлюватися в міру розвитку ситуації.
Чому VPN-пристрої є високоцінними цілями
VPN-шлюзи розташовані на краю мережі, за задумом звернені до інтернету. Це робить їх доступними для будь-кого, а успішна компрометація може надати прямий шлях до внутрішніх систем. Зловмисники також люблять їх, тому що ці пристрої часто працюють із широкими привілеями та можуть обробляти облікові дані багатьох користувачів.
Периферійні пристрої також можуть бути складнішими для моніторингу, ніж ноутбуки чи сервери, оскільки вони можуть не підтримувати ті самі засоби безпеки. Ця прогалина дає зловмисникам більше часу діяти непомітно. Ця закономірність є частиною ширшого зсуву, в якому зловмисники атакують інфраструктуру, що захищає доступ, — тема, яка також з'являється в нашому огляді того, як ШІ переходить від помічника зловмисника до автономного оператора в нещодавніх шпигунських кампаніях, де швидкість і масштаб на користь зловмисника.
Що це означає для вас
Якщо ви адмініструєте Ivanti Connect Secure, це термінове завдання: визначте свої пристрої, встановіть патч і перевірте на ознаки компрометації. Не припускайте, що тихий журнал означає чистий пристрій.
Якщо ви співробітник або віддалений користувач корпоративного VPN, ви не можете самостійно встановити патч на шлюз, але можете запитати свою ІТ-команду, чи він уражений і чи було застосовано виправлення. Використовуйте надійні унікальні паролі та багатофакторну автентифікацію для своїх облікових записів і повідомляйте про будь-які неочікувані запити на вхід або сповіщення щодо облікового запису. Зауважте, що обхід автентифікації може оминути вхід, тому ці звички знижують ризик, але не замінюють патчування.
Якщо ви користуєтеся споживчим VPN-сервісом, ця конкретна проблема стосується корпоративного продукту Ivanti, а не споживчих застосунків. Це все одно корисне нагадування, що будь-яка система віддаленого доступу, звернена до інтернету, потребує регулярних оновлень.
Ключові висновки
- Ставтеся до патчу для zero-day вразливості Ivanti Connect Secure CVE-2026-104935 як до термінового, оскільки, за повідомленнями, атаки вже відбуваються.
- Підтвердьте, які з ваших шлюзів використовують Ivanti Connect Secure, і перевірте їхні версії відповідно до рекомендації Ivanti.
- Перегляньте журнали та цілісність пристрою на предмет ознак компрометації, навіть після патчування.
- Дотримуйтеся рекомендацій CISA та офіційних інструкцій Ivanti в міру їх оновлення.
- Скористайтеся цим моментом, щоб переглянути, як ваша організація захищає інфраструктуру віддаленого доступу, включаючи доступність інтерфейсів управління та моніторинг периферійних пристроїв.
Спочатку патч, потім розслідування, і продовжуйте спостерігати: такий порядок дає вам найкращий шанс випередити цю загрозу.
