CISA Ivanti Connect Secure-in dərhal yenilənməsinə çağırdı, istismar yayılır

CISA Ivanti zəifliyini tanınmış istismar olunmuş zəifliklər kataloquna əlavə etdi

ABŞ Kibertəhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyi (CISA) çərşənbə günü təşkilatlara Ivanti Connect Secure (ICS) cihazlarını və quraşdırmalarını ən son versiyaya dərhal yeniləməyi tələb etdi; aktiv istismar olunan autentifikasiya səhifəsinin CVE-2026-104935 (CVSS balı: 8,6) zəifliyi aşkarlanmışdı.

Zəiflik ICS-in 25.1.1.1, 25.1.2.2 və 22.8R2.4 versiyalarını və onların köhnə variantlarını təsirə girir və uzaqdan yetkisiz hücumçunun ixtiyari əmrləri icra etməsinə imkan verir. CISA zəifliyi Tanınmış İstismar Olunmuş Zəifliklər (KEV) kataloquna əlavə etdi; bu, Federal Mülki İcra Agentliklərinə (FCEB) düzəlişləri 2026-cı il 16 oktyabrına qədər tətbiq etməyə məcburiyyət yaradır. Agentlik həmçinin 22.8 versiyasına dəstək 2027-ci il 31 yanvarında bitir və istifadəçilər Ivanti-nin Connect Secure yeniləmə və miqrasiya uyğunluğu bələdçisinə müraciət etməlidir.

CISA bildirib ki, təşkilatlar təxribat olunub-olmadığını müəyyən etmək istəyirsə, şəbəkə və yaddaş üzrə forensik təhlil aparmalıdırlar. Təxribat aşkar edilərsə: cihaz konfiqurasiyanın ehtiyat nüsxəsini çıxarın, fabrika ayarlarına qaytarın, ən son versiyaya yeniləyin, bulud və virtual sistemlərin nüsxələrini bərpa edin, konfiqurasiyanı ehtiyat nüsxədən bərpa edin, domen, administrator və yerli hesablar da daxil olmaqla bütün hesabların parollarını dəyişin, saxlanılan sertifikatları ləğv edin və yenidən buraxın, API açarları və lisenziya serverinin kredit sənədlərini dəyişin.

Hanipotlar 105 istismar cəhdinə nəzarət etdilər

Xəbərdarlıq Previdian açıqlaması ilə eyni zamanda yayımlandı: 2026-cı il 14 oktyabr tarixinədək onun hanipot sensorlarına 105 istismar cəhdi qeydə alınıb. Cəhdlər Sinqapur və ABŞ ilə geoloq cəhətdən əlaqəli 50 unikal IP ünvanından gəlir: 216.73.160.59, 216.73.160.61, 216.73.160.210 və 45.8.19.111.

Previdianın qurucusu və icra direktoru Ryan Dyuherst bildirib ki, təhlükəsubay aktorları X-DSCGI-PATH başlığı ilə daxili CGI emalçisinə çatır və Perl skriptlərini ZIP fayllarına bükməklə yükləyir. Skriptlər uzaqdan kod icrası uğurla başa çatıb-çağımı göstərən işarələr qaytarır. Dyuherstə görə, indiyə qədər alınan payload-lər əsasən zərərli proqram quraşdırması və ya cihaz təxribatı yox, kod icrasını yoxlayır; bununla birlikdə tam silahlanmış istismarın növbəti saat və günlərdə gəlməsi gözlənilir.

Təhlükəsubay aktoru UTA0576 root səviyyədə kod icrasına çatır

Volexity ayrıca bildirib ki, CVE-2026-104935-in istismarı ilk dəfə 2026-cı il 3 oktyabrında qeydə alınıb: indiyədək sənədləşdirilməmiş təhlükəsubay aktor UTA0576 yetkisiz root səviyyədə kod icrası üçün imtiyazların artırılması zəifliyindən istifadə edib. Volexity UTA0576-nın kriminal motivlərə görə, kəşfiyyat məqsədləri ilə yox fəaliyyət gördüyünə inanır.

Uğurlu istismar sonrası aktoru geniş istismar sonrası fəaliyyətə qatıldı: ICS VPN cihazındakı kredit sənədlərinin oğurlanması, məhdud Active Directory meta məlumatlarının sızması, Kerberoasting hücumları və kredit sənədləri testini mümkün edən Kerberos aləti, hostun müşaidəsi və LDAP paketlərinin ələ keçirilməsi, həmçinin administrator parolları və BitLocker bərpa açarları üçün Python LDAP alətinin işə salınması. Volexity tədqiqatçıları Çarlz Qardner, Şon Kouzels və Stiven Adeirm elan etdilər ki, bərpa edilmiş payload-lər zərərli fəaliyyəti gizlətmək üçün jurnal qeydlərinin seçici dəyişdirilməsini, müvəqqəti icra artefaktlarının silinməsini və dəyişdirilmiş sistem vəziyyətinin bərpa yolunu göstərir.

Mənbələr: The Hacker News