Ivanti випустила оновлення безпеки для ще двох недоліків у своєму шлюзі віддаленого доступу Connect Secure (ICS), і компанія заявляє, що їх об'єднали в ланцюжок під час zero-day атак щонайменше з 1 жовтня. Якщо ваша організація використовує цей пристрій, цей патч для zero-day вразливості Ivanti Connect Secure варто поставити в пріоритет.

Наявні наразі деталі обмежені, тому цей пост зосереджується на тому, що було повідомлено, та на практичних кроках для адміністраторів і співробітників, які покладаються на цей шлюз.

Що виправила Ivanti і коли почалися атаки

Згідно зі звітом, Ivanti випустила оновлення, що охоплюють дві додаткові вразливості в Connect Secure — шлюзі віддаленого доступу, який багато організацій використовують, щоб дозволити співробітникам отримувати доступ до внутрішніх систем з-поза офісу. Недоліки експлуатувалися як zero-day, тобто зловмисники використовували їх ще до того, як існувало виправлення.

Ключова деталь хронології полягає в тому, що атаки відбуваються щонайменше з 1 жовтня. Словосполучення «щонайменше» має значення: воно сигналізує, що це найраніша підтверджена активність на цей момент, а не обов'язково перша. Організаціям, які використовували непатчені пристрої протягом цього періоду, слід розглянути можливість того, що вони були піддані впливу, а не припускати, що саме виправлення закриває питання.

Недоліки також були об'єднані в ланцюжок, що означає, що зловмисники комбінували їх, а не покладалися на одну вразливість. Ця деталь визначає, як захисники повинні думати про ризик.

Чому ланцюгові експлойти на VPN-шлюзах настільки небезпечні

Шлюз віддаленого доступу розташований на периметрі мережі. Він за задумом доступний з інтернету, і йому довіряють з'єднання зовнішніх користувачів із внутрішніми ресурсами. Ця комбінація робить його високоцінною ціллю: успішне зламування може забезпечити опорну точку в місці, яке є одночасно відкритим і добре підключеним.

Об'єднання в ланцюжок робить це ще серйознішим. Одна вразливість може дати зловмиснику обмежений доступ, тоді як друга може розширити цей доступ або перетворити його на щось потужніше. Використані разом, дві вразливості, кожна з яких окремо може бути керованою, можуть скластися в набагато більшу проблему. Захисники, які сортують, розглядаючи кожну вразливість ізольовано, можуть недооцінити реальний вплив.

Це також частина ширшої тенденції. Наше попереднє висвітлення обходу автентифікації Ivanti Connect Secure, відстежуваного як CVE-2026-104935, описувало іншу вразливість у тому самому продукті, яка вже використовувалася в атаках. Спостереження другої хвилі zero-day у тому самому шлюзі підкреслює, чому ці пристрої заслуговують пильної уваги.

Як перевірити, чи ваш робочий VPN-шлюз пропатчено

Якщо ви адмініструєте Connect Secure, почніть з основного:

  • Підтвердіть версію вашого пристрою. Перевірте версію, яка зараз працює, і порівняйте її з виправленими випусками, зазначеними в раді з безпеки Ivanti для цих двох вразливостей.
  • Перегляньте історію оновлень. Переконайтеся, що оновлення справді було застосовано і пристрій перезавантажився у пропатчену збірку, а не лише завантажив його.
  • Озирніться на 1 жовтня. Оскільки атаки датуються щонайменше цим днем, перегляньте журнали та будь-які результати перевірки цілісності з цього періоду й далі.
  • Перевірте наявність пов'язаних виправлень. Переконайтеся, що попередні патчі, включно з тим, що для проблеми CVE-2026-104935, також встановлені.

Якщо ви співробітник, а не адміністратор, ви не можете самостійно пропатчити пристрій, але можете запитати свою IT- або службу безпеки, чи отримав шлюз Connect Secure останнє оновлення. Коротке, пряме запитання є розумним і часто вітається.

Що робити, якщо ваш пристрій Connect Secure не оновлено

Застосуйте патчі якомога швидше, наскільки дозволяє ваш процес внесення змін. Оскільки ці вразливості експлуатуються в реальних умовах, очікування звичайного вікна обслуговування несе реальний ризик.

Поки ви готуєтеся до оновлення, розгляньте можливість обмеження того, хто може отримати доступ до інтерфейсів управління пристроєм, і дотримуйтесь будь-яких проміжних рекомендацій щодо пом'якшення наслідків, які надає Ivanti. Після патчингу запустіть інструменти перевірки цілісності від постачальника, якщо вони доступні, і шукайте незвичайні сесії, неочікувані зміни конфігурації або облікові записи, які ви не розпізнаєте. Якщо ви виявите ознаки компрометації, розглядайте це як інцидент: ізолюйте пристрій, збережіть журнали та залучіть свою команду реагування на інциденти, перш ніж скидати облікові дані, які могли пройти через шлюз.

Що це означає для вас

Для адміністраторів повідомлення просте: перевірте свою версію, пропатчіть і дослідіть період з 1 жовтня. Виправлений пристрій не є автоматично чистим, якщо він був підданий впливу до оновлення.

Для звичайних користувачів корпоративного VPN немає програмного забезпечення, яке потрібно встановлювати на власному пристрої для цієї проблеми, оскільки вразливий компонент — це шлюз. Тим не менш, це гарний момент, щоб використовувати надійні унікальні паролі, увімкнути багатофакторну автентифікацію, де вона пропонується, і повідомляти про будь-що дивне, наприклад, неочікувані запити на вхід або сповіщення про вхід.

Ключові висновки

  • Ivanti випустила оновлення для ще двох вразливостей Connect Secure, об'єднаних у ланцюжок під час zero-day атак щонайменше з 1 жовтня.
  • Шлюзи віддаленого доступу є привабливими цілями, оскільки вони доступні з інтернету і їм довіряють.
  • Об'єднані в ланцюжок вразливості можуть бути більш руйнівними, ніж кожна з них окремо.
  • Підтвердіть версію вашого пристрою, застосуйте патч для zero-day вразливості Ivanti Connect Secure зараз і перегляньте активність з 1 жовтня й далі.
  • Для ознайомлення з поточною тенденцією прочитайте наш попередній звіт про обхід автентифікації CVE-2026-104935.

Якщо ви використовуєте або адмініструєте Ivanti Connect Secure, перевірте свою версію сьогодні та застосуйте оновлення без зволікання.