CISA закликав негайно оновити Ivanti Connect Secure, експлуатація поширюється

CISA внесла вразливість Ivanti до каталогу відомих експлуатованих вразливостей

Агентство з кібербезпеки та інфраструктурної безпеки США (CISA) у середу закликало організації негайно оновити свої пристрої та розгортання Ivanti Connect Secure (ICS) до останньої версії після виявлення активно експлуатованої вразливості сторінки автентифікації, відомої як CVE-2026-104935 (CVSS оцінка: 8,6).

Вразливість стосується версій ICS 25.1.1.1 та старіших, 25.1.2.2 та старіших, а також 22.8R2.4 та старіших, і може дозволити віддаленому неавторизованому зловмиснику виконувати довільні команди. CISA додала вразливість до каталогу відомих експлуатованих вразливостей (KEV), що зобов'язує агентства федеральних виконавчих органів цивільного сектору (FCEB) застосувати виправлення до 16 жовтня 2026 року. Агентство також зазначило, що підтримка версії 22.8 припиняється 31 січня 2027 року, і звернулося до користувачів щодо інструкцій з патчингу до посібника сумісності оновлень та міграції Ivanti Connect Secure.

CISA заявила, що організаціям, які бажають визначити, чи були вони скомпрометовані, слід провести криміналістичний аналіз мережі та пам'яті. Якщо компрометація виявлена, агентство рекомендує: створити резервну копію конфігурації пристрою, виконати скидання до заводських налаштувань та оновити до останньої версії, перестворити віртуальні екземпляри хмарних та віртуальних систем, відновити конфігурацію з резервної копії, скинути всі паролі облікових записів, включаючи доменні, адміністраторські та локальні облікові записи, та відкликати й перевидати збережені сертифікати, а також скинути збережені ключі API та облікові дані сервера ліцензування.

Хоніпоти зафіксували 105 спроб експлуатації

Попередження було опубліковане, коли Previdian оприлюднила, що станом на 14 жовтня 2026 року її датчики хоніпоту зафіксували 105 спроб експлуатації. Спроби надходили з 50 унікальних IP-адрес, які за геолокацією належали до Сінгапуру та США, зокрема 216.73.160.59, 216.73.160.61, 216.73.160.210 та 45.8.19.111.

Засновник і генеральний директор Previdian Раян Дьюгерст заявив, що актори загрози використовують заголовок X-DSCGI-PATH для доступу до внутрішнього CGI-процесора та завантаження Perl-скриптів, замаскованих як ZIP-файли. Скрипти повертають унікальні маркери, які визначають, чи успішно виконання віддаленого коду. За словами Дьюгерста, отримані завантаження здебільшого перевіряють виконання коду, а не розгортання шкідливого ПЗ або компрометацію пристрою, хоча очікується, що повноцінна експлуатація може слідувати в найближчі години та дні.

Актор загрози UTA0576 досягає виконання коду на рівні root

У окремому звіті Volexity заявила, що експлуатація CVE-2026-104935 вперше була зафіксована 3 жовтня 2026 року: її використовував раніше недокументований актор загрози UTA0576 разом із вразливістю ескалації привілеїв для досягнення неавторизованого виконання коду на рівні root. Volexity оцінює, що UTA0576 діє з кримінальними мотивами, а не шпигунськими.

Після успішної експлуатації актор загрози долучився до широкомасштабної постексплуатаційної активності, включаючи викрадення облікових даних, що зберігаються на пристрої ICS VPN, ексфільтрацію обмежених метаданих Active Directory, розгортання інструмента Kerberos, який здатний до атак Kerberoasting та тестування облікових даних, моніторингу хоста та захоплення LDAP-пакетів, а також запуску інструмента Python LDAP для пошуку паролів адміністратора та ключів відновлення BitLocker. Дослідники Volexity Чарлі Гарднер, Шон Козель і Стівен Адейр заявили, що відновлені завантаження демонструють цілеспрямовані зусилля зі приховування шкідливої активності через вибіркову модифікацію журналів, видалення тимчасових артефактів виконання та відновлення зміненого системного стану.

Джерела: The Hacker News