CISA додала до KEV дві вразливості Ivanti Connect Secure після експлуатації

CISA додала дві вразливості безпеки, що стосуються Ivanti Connect Secure (ICS), до каталогу Known Exploited Vulnerabilities (KEV) після активної експлуатації в реальних умовах. Ці вразливості є частиною ланцюжка експлуатації, який, за даними Volexity, може забезпечити неавтентифіковане виконання коду на рівні root, а виправлення вже доступні у підтримуваних версіях ICS.

Дві вразливості додано до KEV

Вразливості: CVE-2026-111357 із оцінкою CVSS 8.8, описана як проблема відсутності автентифікації для критичної функції, що може дозволити локальному автентифікованому зловмиснику підвищити привілеї, та CVE-2026-118527 із оцінкою CVSS 4.3, описана як проблема генерації передбачуваних чисел або ідентифікаторів, що може дозволити віддаленому автентифікованому зловмиснику завантажувати файли з контрольованим зловмисником вмістом у відоме місце на диску.

Ланцюжок експлуатації та спостережена активність

Volexity задокументувала цей ланцюжок раніше цього місяця, зазначивши, що він поєднував обхід автентифікації, віддалене виконання коду та вразливість підвищення привілеїв. Його було використано з CVE-2026-104935, вразливістю обходу автентифікації з оцінкою CVSS 8.6, раніше недокументованим зловмисником, названим UTA0576; CVE-2026-104935 було додано до каталогу KEV 13 жовтня 2026 року. На відміну від атак, що зазвичай використовують такі вразливості для розгортання веб-шелів або шкідливого програмного забезпечення, UTA0576 спостерігали під час вилучення облікових даних та обмежених метаданих Active Directory, проведення розвідки хостів і пошуку паролів адміністраторів та ключів відновлення BitLocker.

Виправлення та федеральні терміни

У Ivanti повідомили, що мали виправлення для CVE-2026-104935 на етапі контролю якості, коли було виявлено експлуатацію, і вирішили не відкладати виправлення, яке усувало основний шлях експлуатації, коли було виявлено проблему локального підвищення привілеїв. Компанія також повідомила, що виявила частину цієї вразливості через свою програму безпеки продукту та виправила її у липневому випуску 25.1.3.0, а також працювала над перенесенням виправлення на інші підтримувані версії, коли відбулася активність експлуатації. Виправлення для CVE-2026-111357 та CVE-2026-118527 вже доступні: версії 25.1.1.2 та раніше виправлено у 25.1.1.3, а версії 22.8R2.5 та раніше виправлено у 22.8R2.6. Останній випуск усуває всі вразливості, що були поєднані в ланцюжок та експлуатувалися в реальних умовах. Федеральні агентства цивільної виконавчої влади (FCEB) зобов'язані застосувати виправлення для CVE-2026-111357 до 2 листопада 2026 року, а для CVE-2026-118527 до 13 листопада 2026 року.

Попереднє висвітлення: CISA закликає негайно оновити Ivanti Connect Secure, експлуатація поширюється

Джерела: The Hacker News