CISA-მ Ivanti Connect Secure-ის დაუყოვნებლივ განახლებისკენ მოუწოდა, ექსპლუატაცია ფართოვდება

CISA-მ Ivanti-ს ხარვეზი ცნობილი ექსპლუატირებული დაუცველობების კატალოგში შეიტანა

აშშ-ის კიბერუსაფრთხოებისა და ინფრასტრუქტურის უსაფრთხოების სააგენტომ (CISA) სამშაბათს ორგანიზაციებს მოუწოდა, დაუყოვნებლივ განაახლონ მათი Ivanti Connect Secure (ICS) მოწყობილობები და განლაგებები უახლეს ვერსიამდე, აქტიურად ექსპლუატირებული ავთენტიფიკაციის გვერდის ავლის დაუცველობის გამჟღავნების შემდეგ, რომელიც CVE-2026-104935-ით არის ცნობილი (CVSS ქულა: 8,6).

ხარვეზი ეხება ICS-ის 25.1.1.1 და უფრო ადრინდელ ვერსიებს, 25.1.2.2 და უფრო ადრინდელ ვერსიებს, ასევე 22.8R2.4 და უფრო ადრინდელ ვერსიებს და შესაძლოა დისტანციურ არაავტორიზებულ თავდამსხმელს თვითნებური ბრძანებების შესრულების საშუალება მისცეს. CISA-მ დაუცველობა ცნობილი ექსპლუატირებული დაუცველობების (KEV) კატალოგში დაამატა, რაც ფედერალური სამოქალაქო აღმასრულებელი შტოს (FCEB) სააგენტოებს ავალდებულებს, გამოსწორებები 2026 წლის 16 ოქტომბრამდე გამოიყენონ. სააგენტომ ასევე აღნიშნა, რომ 22.8 ვერსიის მხარდაჭერა 2027 წლის 31 იანვარს სრულდება, და მომხმარებლები პაჩინგის ინსტრუქციისთვის Ivanti-ს Connect Secure-ის განახლებისა და მიგრაციის თავსებადობის სახელმძღვანელოსკენ მიმართა.

CISA-მ განაცხადა, რომ ორგანიზაციებს, რომლებსაც სურთ დაადგინონ, იყვნენ თუ არა კომპრომეტირებული, ქსელისა და მეხსიერების ფორენზიკა უნდა ჩაატარონ. თუ კომპრომეტაცია გამოვლინდება, სააგენტო რეკომენდაციას იძლევა: შექმნან მოწყობილობის კონფიგურაციის სარეზერვო ასლი, გააკეთონ ქარხნული გადაყენება და განაახლონ უახლეს ვერსიამდე, თავიდან ააგონ ღრუბლოვანი და ვირტუალური სისტემების ვირტუალური ინსტანციები, აღადგინონ კონფიგურაცია სარეზერვო ასლიდან, გადააყენონ ყველა ანგარიშის პაროლი, მათ შორის დომენის, ადმინისტრატორისა და ლოკალური ანგარიშების, და გააუქმონ და ხელახლა გასცენ შენახული სერტიფიკატები, ამავდროულად გადააყენონ შენახული API გასაღებები და ლიცენზიის სერვერის რწმუნებები.

ჰანიპოტებმა 105 ექსპლუატაციის მცდელობა დააფიქსირეს

გაფრთხილება მაშინ გამოქვეყნდა, როცა Previdian-მა გაასაჯაროვა, რომ 2026 წლის 14 ოქტომბრის მდგომარეობით მისი ჰანიპოტის სენსორების წინააღმდეგ 105 ექსპლუატაციის მცდელობა დააფიქსირა. მცდელობები 50 უნიკალური IP მისამართიდან მოდიოდა, რომლებიც გეოლოკაციით სინგაპურსა და აშშ-ს მიეკუთვნებოდა, მათ შორის 216.73.160.59, 216.73.160.61, 216.73.160.210 და 45.8.19.111.

Previdian-ის დამფუძნებელმა და აღმასრულებელმა დირექტორმა რაიან დიუჰერსტმა განაცხადა, რომ საფრთხის აქტორები იყენებენ X-DSCGI-PATH ჰედერს, რათა მიაღწიონ შიდა CGI დამმუშავებელს და ატვირთონ ZIP ფაილებად შენიღბული Perl სკრიპტები. სკრიპტები უნიკალურ მარკერებს აბრუნებენ, რომლებიც განსაზღვრავენ, წარმატებით დასრულდა თუ არა დისტანციური კოდის შესრულება. დიუჰერსტის თქმით, აქამდე აღებული payload-ები ძირითადად კოდის შესრულებას ამოწმებენ და არა მავნე პროგრამის განლაგებას ან მოწყობილობის კომპრომეტაციას, თუმცა მოსალოდნელია, რომ სრულად შეიარაღებული ექსპლუატაცია მომდევნო საათებში და დღეებში მოჰყვეს.

საფრთხის აქტორი UTA0576 root დონის კოდის შესრულებას აღწევს

ცალკე მოხსენებაში Volexity-მ განაცხადა, რომ CVE-2026-104935-ის ექსპლუატაცია პირველად 2026 წლის 3 ოქტომბერს დააფიქსირა: მას იყენებდა აქამდე არადოკუმენტირებული საფრთხის აქტორი UTA0576, პრივილეგიების ესკალაციის დაუცველობასთან ერთად, რათა მიეღწია არაავტორიზებული root დონის კოდის შესრულებისთვის. Volexity აფასებს, რომ UTA0576 კრიმინალური მოტივებით მოქმედებს და არა შპიონაჟით.

წარმატებული ექსპლუატაციის შემდეგ საფრთხის აქტორი ფართო პოსტექსპლუატაციურ აქტივობაში ჩაერთო, მათ შორის ICS VPN მოწყობილობაზე შენახული რწმუნებების ამოღება, შეზღუდული Active Directory მეტამონაცემების ექსფილტრაცია, Kerberos ინსტრუმენტის განლაგება, რომელსაც Kerberoasting შეტევები და რწმუნებების ტესტირება შეუძლია, ჰოსტის დაზვერვა და LDAP პაკეტების აღება, ასევე Python LDAP ინსტრუმენტის ჩაშვება ადმინისტრატორის პაროლებისა და BitLocker აღდგენის გასაღებების მოსაძებნად. Volexity-ს მკვლევარებმა ჩარლი გარდნერმა, შონ კოესელმა და სტივენ ადეირმა განაცხადეს, რომ აღდგენილი payload-ები აჩვენებენ მიზანმიმართულ ძალისხმევას მავნე აქტივობის დასამალად ლოგების შერჩევითი მოდიფიკაციის, დროებითი შესრულების არტეფაქტების წაშლისა და შეცვლილი სისტემური მდგომარეობის აღდგენის გზით.

წყაროები: The Hacker News