Обзор
13 октября 2026 года компания Ivanti опубликовала бюллетень по безопасности для CVE-2026-104935, уязвимости высокой степени критичности, связанной с обходом аутентификации путем подмены (CWE-290), затрагивающей Ivanti Connect Secure (ICS). Уязвимость имеет оценку CVSSv3.0 8.6 и позволяет удаленному неавторизованному злоумышленнику выполнять произвольные команды.
Ivanti сообщает, что эксплуатация уязвимости в реальных условиях происходила еще до момента раскрытия информации, затронув ограниченное число клиентов. Это указывает на то, что уязвимость использовалась как уязвимость нулевого дня. Агентство по кибербезопасности и защите инфраструктуры США (CISA) подтвердило факты эксплуатации и добавило CVE-2026-104935 в свой каталог известных эксплуатируемых уязвимостей (KEV) в тот же день, когда производитель сделал публичное заявление. Фирма по цифровой криминалистике Volexity опубликовала подробную запись в блоге, описывающую активность злоумышленников, которая была обнаружена в начале октября 2026 года. Volexity отмечает, что помимо использования CVE-2026-104935 в качестве уязвимости нулевого дня, злоумышленники также использовали еще не исправленную уязвимость повышения привилегий, которую Ivanti планирует устранить позднее.
По заявлению производителя, часть уязвимости была первоначально обнаружена в рамках программы безопасности продуктов и исправлена в июльском релизе 25.1.3.0. Эксплуатация происходила в то время, когда Ivanti работала над переносом исправления (backport) на остальные поддерживаемые версии.
Ivanti Connect Secure — популярное корпоративное VPN-решение, которое естественным образом располагается на периметре корпоративной сети. Продукт уже неоднократно становился целью злоумышленников: эксплуатация уязвимостей нулевого дня происходила как в 2024, так и в 2025 годах.
Учитывая подтвержденные факты эксплуатации, возможность выполнения команд без аутентификации, а также историю продукта, Rapid7 рекомендует организациям, использующим затронутые версии, установить соответствующее обновление в экстренном порядке, вне обычных циклов исправления.
Рекомендации по устранению
Для устранения CVE-2026-104935 доступны обновления от производителя. Ivanti приводит следующий список затронутых и исправленных версий:
Затронутые версии Ivanti Connect Secure
Исправленные версии
25.1.1.1 и более ранние в соответствующей ветке кода
25.1.1.2
25.1.2.2 и более ранние в соответствующей ветке кода
25.1.3.0, 25.1.3.1
22.8R2.4 и более ранние в соответствующей ветке кода
22.8R2.5
Обратите внимание, что в бюллетене производителя подтверждается, что версии 22.7.x и ниже не затронуты.
На момент публикации бюллетеня Ivanti заявляет, что надежные индикаторы компрометации недоступны, однако Volexity опубликовала несколько here. Rapid7 настоятельно рекомендует искать признаки компрометации даже после установки исправления. Клиенты, подозревающие факт эксплуатации, должны следовать инструкциям по восстановлению от производителя.
Для получения актуальных рекомендаций по устранению, пожалуйста, обратитесь к бюллетеню по безопасности производителя.
Клиенты Rapid7
Exposure Command, Vulnerability Management и Nexpose
Клиенты Exposure Command, Vulnerability Management и Nexpose могут оценить подверженность CVE-2026-104935 с помощью проверки на уязвимости, которая, как ожидается, будет доступна в обновлении контента 14 октября.
Обновления
- 13 октября 2026 г.: Первоначальная публикация.
13 октября 2026 г.: Первоначальная публикация.
