CISA-ն կոչ է անում անհետաձգ Ivanti Connect Secure թարմացնելու, օգտագործումը տարածվում է

CISA-ն Ivanti-ի խնդիրը ներառել է հայտնի օգտագործվող խոտորումների կատալոգում

ԱՄՆ-ի կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը (CISA) չորեքշաբթի կոչ է անում կազմակերպություններին անհետաձգ թարմացնել իրենց Ivanti Connect Secure (ICS) սարքերը և տեղադրումները մինչև վերջին տարբերակը, ակտիվորեն օգտագործվող նույնականացման էջի խոտորման խոտորման բացահայտումից հետո, որը հայտնի է CVE-2026-104935-ով (CVSS միավոր: 8,6):

Խնդիրը վերաբերում է ICS-ի 25.1.1.1 և ավելի հին տարբերակներին, 25.1.2.2 և ավելի հին տարբերակներին, ինչպես նաև 22.8R2.4 և ավելի հին տարբերակներին և կարող է հեռահար ոչ լիցենզավորված հարձակում կատարողին տրամադրել հատուկ հրամաններ կատարելու հնարավորություն: CISA-ն խոտորումը ներառել է հայտնի օգտագործվող խոտորումների (KEV) կատալոգում, ինչը պարտադրում է դաշնային քաղաքացիական կատարողական ճյուղի (FCEB) գործակալություններին կիրառել ուղղումները մինչև 2026 թվականի հոկտեմբերի 16-ը: Գործակալությունը նաև նշել է, որ 22.8 տարբերակի աջակցությունը ավարտվում է 2027 թվականի հունվարի 31-ին, և օգտատերերը դիմել են Ivanti-ի Connect Secure թարմացման և միգրացիայի համատեղելիության ուղեցույցը:

CISA-ը հայտարարել է, որ կազմակերպությունները, ովքեր ցանկանում են որոշել, թե արդյոք համակարգը կոմպրոմետված է, պետք է իրականացնեն ցանցի և հիշողության ֆորենզիկ վերլուծություն: Եթե կոմպրոմետումը հայտնաբերվի, գործակալությունը ռեկոմենդում է: ստեղծել սարքի կոնֆիգուրացիայի պահուստ պատճենը, կատարել գործարանային վերականգնում և թարմացնել մինչև վերջին տարբերակը, վերստեղծել ամպային և վիրտուալ համակարգերի վիրտուալ օրինակները, վերականգնել կոնֆիգուրացիան պահուստ պատճենից, փոխել բոլոր հաշվի գաղտնաբառերը, այդ թվում դոմենի, ադմինիստրատորի և տեղական հաշիվների գաղտնաբառերը, և չեղարկել և նորից տրամադրել պահված սերտիֆիկատները, միաժամանակ փոխել պահված API բանալիները և լիցենզավորման սերվերի վստահությունները:

Հոնիպոթերը արձանագրել են 105 օգտագործման փորձ

Զգուշացումը հրապարակվել է, երբ Previdian-ը հայտնի է դարձրել, որ 2026 թվականի հոկտեմբերի 14-ի դրությամբ իր հոնիպոթի սենսորների դեմ արձանագրել է 105 օգտագործման փորձ: Փորձերը գալիս էին 50 յուրահատուկ IP հասցեներից, որոնք օգտագործվում էին Սինգապուրում և ԱՄՆ-ում, այդ թվում՝ 216.73.160.59, 216.73.160.61, 216.73.160.210 և 45.8.19.111:

Previdian-ի հիմնադիրը և գործադիր տնօրենը՝ Ռայան Դյուհերստը, հայտարարել է, որ վտանգի գործողները օգտագործում են X-DSCGI-PATH վերնագիրը, որպեսզի հասնեն ներկայիս CGI մշակողին և բեռնեն ZIP ֆայլերի տեսքով ծածկված Perl սկրիպտեր: Սկրիպտերը վերադարձնում են յուրահատուկ նշաններ, որոնք որոշում են, թե արդյոք հեռահար կոդի կատարումը հաջողվել է: Ըստ Դյուհերստի, մինչ այս պահը ստացված payload-երը հիմնականում ստուգում են կոդի կատարումը, այլ ոչ թե չարամիտ ծրագրի տեղադրումը կամ սարքի կոմպրոմետումը, սակայն ակնկալվում է, որ ամբողջությամբ զինված օգտագործումը կհետևի հաջորդ ժամերին և օրերին:

Վտանգի գործողը UTA0576 հասնում է root մակարդակի կոդի կատարմանը

Առանձին հաղորդումում Volexity-ն հայտարարել է, որ CVE-2026-104935-ի օգտագործումը առաջին անգամ արձանագրվել է 2026 թվականի հոկտեմբերի 3-ին: Այն օգտագործվել է մինչ այդ անստեղծագործված վտանգի գործողի կողմից՝ UTA0576, պրիվիլեգիաների էսկալացիայի խոտորման հետ միասին, որպեսզի հասնի ոչ լիցենզավորված root մակարդակի կոդի կատարմանը: Volexity-ն գնահատում է, որ UTA0576 գործում է հանցավոր մոտիվներով, այլ ոչ թե գործածությամբ:

Հաջողված օգտագործումից հետո վտանգի գործողը ներգրավվել է լայն տեսականով հետգործման գործունեության մեջ, այդ թվում՝ ICS VPN սարքի վրա պահված վստահությունների հանելը, սահմանափակ Active Directory մետատվյալների արտահոսքը, Kerberos գործիքի տեղադրումը, որը կարող է Kerberoasting հարձակումներ և վստահությունների ստուգում կատարել, հոսթի դիտումը և LDAP փաթեթների ստացումը, ինչպես նաև Python LDAP գործիքի ներդրումը ադմինիստրատորի գաղտնաբառերի և BitLocker վերականգնման բանալիների որոնման համար: Volexity-ի հետազոտողները՝ Չարլի Գարդները, Շոն Կոեսելը և Սթիվեն Ադեյրը, հայտարարել են, որ վերականգնված payload-երը ցույց են տալիս նպատակային ջանքերը չարամիտ գործունեությունը ծածկելու համար լոգերի ընտրովի փոփոխման, ժամանակավոր կատարման արտեֆակտների ջնջման և փոփոխված համակարգային վիճակի վերականգնման միջոցով:

Նյութերի աղբյուրներ: The Hacker News