CVE-2026-104935: Wykorzystanie luki Zero-Day w Ivanti Connect Secure do nieautoryzowanego wykonania kodu

Ivanti ujawniło CVE-2026-104935, lukę o wysokim stopniu zagrożenia w Ivanti Connect Secure (ICS), która jest aktywnie wykorzystywana w rzeczywistych atakach. Luka otrzymała wynik CVSS 8,6 i umożliwia nieautoryzowanym atakującym ominięcie uwierzytelniania i wykonanie dowolnych poleceń na podatnych urządzeniach VPN.

Luka została ujawniona po tym, jak Volexity zbadało przejęte urządzenie Ivanti Connect Secure, które było w pełni zaktualizowane w momencie ataku. Nieznany wcześniej aktor, śledzony jako UTA0576, połączył obejście uwierzytelnienia i zdalne wykonanie kodu opisane w CVE-2026-104935 z osobną luką typu zero-day dotyczącą eskalacji uprawnień, aby osiągnąć nieautoryzowane wykonanie poleceń na poziomie root.

Zaobserwowana kampania ilustruje zagrożenia związane z lukami w infrastrukturze VPN eksponowanej na Internet. Po uzyskaniu uprawnień administratora, atakujący celowali w dane uwierzytelniające, dane Active Directory, hasła LAPS, klucze odzyskiwania BitLocker i inne wrażliwe informacje, które mogą wspierać dalsze przemieszczanie się w głąb środowiska ofiary.

Ivanti potwierdziło 13 października 2026, że jest świadome ograniczonego wykorzystywania luki na żywo i nawołuje organizacje uruchamiające podatne wersje do natychmiastowego działania. CISA dodało później tę lukę do swojego katalogu Znanych Wykorzystywanych Luk.

Zespoły bezpieczeństwa mogą wykorzystywać AI-Native Detection Intelligence Platform firmy SOC Prime, aby przyspieszyć wykrywanie pojawiających się zagrożeń i zoperacjonalizować treści wykrywania w środowiskach SIEM, EDR, XDR i Data Lake.

Prime Architect może dalej wspierać inżynierów bezpieczeństwa przekształcając nowoczesne informacje o zagrożeniach w logikę wykrywania, zapytania śledzenia i specyficzne dla środowiska reguły, podczas gdy Prime Hunt umożliwia retrospektywne badania w oparciu o telemetrię organizacyjną.

Skontaktuj się z działem sprzedaży

Analiza CVE-2026-104935

CVE-2026-104935 dotyczy specyficznych wersji Ivanti Connect Secure i łączy dwie podatności wykorzystywane przez atakujących do przejścia od nieautoryzowanego żądania sieciowego do wykonania dowolnego kodu w kontekście konta cgi-server.

Luka jest sklasyfikowana jako obejście uwierzytelnienia poprzez podszywanie się pod kontekstem CWE-290. Według Ivanti, problem można eksploatować zdalnie bez poświadczeń ani interakcji użytkownika i ma wynik CVSS 8,6.

Volexity odtworzyło łańcuch eksploatacji podczas badania urządzenia Ivanti Connect Secure 22.8R2.4, Build 19097. Uważano, że urządzenie było w pełni zaktualizowane, gdy szkodliwa aktywność rozpoczęła się 3 października 2026. Badacze rozpoczęli analizę incydentu 5 października i następnie współpracowali z Ivanti, aby przeanalizować obrazy pamięci, dysków i zrzuty rdzenia z zainfekowanego systemu.

Pierwszy etap wykorzystuje zachowanie trasowania żądań związane z ogólnodostępnym punktem końcowym /dana-na/auth/url_default/welcome.cgi. Atakujący mogą dostarczyć nagłówek HTTP X-DSCGI-PATH wskazujący na zasób CGI, który normalnie wymagałby uwierzytelnienia.

Decyzja o bezpieczeństwie opiera się na publicznym URL, podczas gdy nagłówek kontroluje rzeczywisty skrypt odbierający żądanie. Ta rozbieżność pozwala atakującemu skierować nieautoryzowane żądania do chronionej funkcjonalności CGI.

UTA0576 użyło tego mechanizmu, aby sięgnąć do wu.cgi, obsługującej przesyłanie, zawierającej drugą lukę. Atakujący złożyli złośliwy skrypt Perl przebrany jako plik .zip. Obsługujący tymczasowo zapisali przesłaną zawartość w /home/runtime/tmp/ zanim sprawdzono, czy plik to prawidłowe archiwum ZIP.

Mimo że nieważny plik został następnie usunięty, atakujący wykorzystali krótki okres między utworzeniem pliku a jego usunięciem. Równoległe żądania odnoszące się do tymczasowego pliku poprzez X-DSCGI-PATH pozwoliły na wykonanie ładunku Perl przed usunięciem.

Początkowy ładunek uruchomił Bash, a następnie zakodowany etap w Pythonie, który istniał głównie w pamięci. W tym momencie atakujący uzyskali wykonanie kodu jako niżej uprzywilejowane konto cgi-server.

Aby eskalować uprawnienia, UTA0576 połączyło osobną lukę typu zero-day obejmującą uprzywilejowaną usługę dsinvoked i magazyn konfiguracji DSCache. Atakujący zmodyfikowali kopię biblioteki Ivanti w pamięci, zmienili konfigurację uprzywilejowanego zadania konserwacyjnego i zmusili dsinvoked do wykonania kodu Perl kontrolowanego przez atakującego jako root.

Po uzyskaniu dostępu na poziomie root, exploit przywrócił zmodyfikowaną konfigurację w pamięci i stan biblioteki. Usunął także odpowiednie wpisy z dzienników debugowania Ivanti i dzienników audytu Linuksa, znacznie zmniejszając ilość dostępnych artefaktów kryminalistycznych na dysku.

To zachowanie jest szczególnie istotne, ponieważ narzędzie Integrity Checker Tool Ivanti koncentruje się na identyfikowaniu nieoczekiwanych zmian w plikach. Ponieważ części tego exploitu modyfikują kod tylko w pamięci i przywracają tymczasowe zmiany konfiguracji, Volexity odkryło, że atak może ominąć wykrywanie przez to narzędzie.

Atakujący nie zainstalowali też konwencjonalnej trwałej powłoki webowej ani pierwszego etapu tylnego ota. Zamiast tego UTA0576 wielokrotnie wykonywało pełny łańcuch eksploatacji, gdy potrzebne było uruchomienie kolejnego polecenia i zwracali wyjście polecenia bezpośrednio poprzez ruch HTTPS eksploita.

Działania po eksploitacji skupiały się w dużym stopniu na danych uwierzytelniających i Active Directory. Volexity zaobserwowało, że atakujący wyodrębniają dane uwierzytelniające przechowywane na urządzeniu VPN, przesłuchują Active Directory, szukają haseł LAPS i kluczy odzyskiwania BitLocker, wykonują natrysk haseł, badają dzienniki uwierzytelnienia i zbierają ruch LDAP.

Aktor zagrożenia używał także niestandardowych narzędzi Python i Kerberos do testowania poświadczeń i dostępu do wrażliwych atrybutów katalogu. Pliki związane z rozpoznawaniem i zbieraniem danych autoryzacyjnych były tymczasowo przechowywane w /tmp/ przed ich wyeksportowaniem i wyczyszczeniem.

Atrybucja pozostaje niepewna. Volexity śledzi aktora jako UTA0576 i ocenia z niską pewnością, że jego motywacja może być kryminalna, a nie szpiegowska. Badacze ocenili również z średnią pewnością, że aktor mógł używać dużych modeli językowych do pomocy w rozwoju lub działaniu poeksploatacyjnym, opierając się na operacyjnych cechach włamania.

Nie zidentyfikowano szeroko dostępnych, zweryfikowanych PoC dla CVE-2026-104935 w głównych źródłach przeglądanych w momencie publikacji. Jednak Volexity opublikowało znaczne szczegóły techniczne dotyczące łańcucha ataku, co oznacza, że organizacje powinny zakładać, że dodatkowi aktorzy mogą próbować odtworzyć tę technikę.

W przypadku wykrywania CVE-2026-104935, obrońcy powinni monitorować duże ilości żądań do /dana-na/auth/url_default/welcome.cgi, zwłaszcza gdy nagłówek X-DSCGI-PATH odnosi się do innego zasobu CGI lub pliku tymczasowego.

Łagodzenie CVE-2026-104935

Ivanti wydało poprawki dla obejścia uwierzytelnienia i komponentów RCE chronionych przez CVE. Organizacje korzystające z dotkniętych wydań Connect Secure powinny zaktualizować natychmiast, zamiast polegać wyłącznie na kontroli integralności.

Październikowe wytyczne bezpieczeństwa Ivanti identyfikują naprawione wersje w obsługiwanych gałęziach, w tym 22.8R2.5, 25.1.1.2, 25.1.3.0 i 25.1.3.1, w zależności od używanej linii kodu. Ivanti zaleca przejście na gałąź 25.x tak szybko, jak to możliwe, ponieważ linia kodu 22.x zbliża się do końca życia.

Osobna luka dotycząca eskalacji uprawnień używana w obserwowanym łańcuchu trzech zero-day nie została jeszcze naprawiona, gdy Volexity opublikowało swoją analizę 13 października. Ivanti przygotowywało poprawkę na przyszłe wydanie. To sprawia, że instalacja poprawek dla CVE-2026-104935 jest szczególnie ważna, ponieważ zablokowanie początkowego obejścia uwierzytelnienia i RCE zapobiega dotarciu atakujących do etapu wymagającego wykorzystania lokalnej eskalacji uprawnień.

Organizacje powinny również nadal uruchamiać Narzędzie do sprawdzania integralności Ivanti, zgodnie z zaleceniami dostawcy, ale nie traktować czystego wyniku jako definitywnego dowodu na to, że eksploatacja nie miała miejsca. Sam Ivanti zaleca łączenie aktualizacji i kontroli integralności z monitorowaniem sieci, przeglądaniem dzienników, kontrolą dostępu i ciągłą walidacją urządzeń.

W celu wykrycia eksploatacji CVE-2026-104935, obrońcy powinni sprawdzać telemetrię HTTP pod kątem rozbieżności między żądanym adresem URL a wartością nagłówka X-DSCGI-PATH. Szczególnie podejrzane wartości obserwowane przez Volexity obejmują ścieżki odnoszące się do wu.cgi lub plików pod /home/runtime/tmp/.

Zespoły bezpieczeństwa powinny także sprawdzać /tmp/ w poszukiwaniu niewytłumaczalnych skryptów lub artefaktów rozpoznania i badać nieoczekiwaną aktywność pochodzącą z urządzenia VPN skierowaną do Active Directory, usług LDAP, infrastruktury DNS lub wewnętrznych systemów uwierzytelniania.

Znane IOCs dla CVE-2026-104935 z badanych incydentów obejmują adres IP kontrolowany przez atakującego 108.165.147[.]64, podejrzaną aktywność związaną z /data/.icscap/ oraz powtarzające się żądania kierowane do widocznej ścieżki CGI welcome. Te wskaźniki powinny być używane razem z wykrywaniem behawioralnym, ponieważ atakujący mogą z łatwością rotować infrastrukturę lub zmieniać tymczasowe nazwy plików.

Organizacje, które zidentyfikują oznaki kompromisu, powinny przeprowadzać analizy sieci i pamięci zamiast polegać wyłącznie na badaniach opartych na dyskach. Dane uwierzytelniające przechowywane lub dostępne przez urządzenie powinny być traktowane jako potencjalnie zagrożone, w tym dane logowania do usług LDAP, i powinny zostać zmienione po opanowaniu sytuacji.

Obrońcy powinni dodatkowo badać Active Directory pod kątem podejrzanych zapytań LDAP, natrysków haseł, dostępu do atrybutów odzyskiwania LAPS lub BitLocker, anomalii w działaniu Kerberos oraz bocznego ruchu pochodzącego z urządzenia VPN.

CISA dodała lukę do swojego katalogu Znanych Wykorzystywanych Luk 13 października 2026, ustalając termin naprawy na 16 października dla odpowiednich agencji federalnych cywilnych USA. To potwierdza, że organizacje powinny traktować naprawienie jako pilny priorytet, a nie czekać na szersze eksploatacje.

Platforma AI-Native Detection Intelligence firmy SOC Prime może pomóc zespołom bezpieczeństwa w operacjonalizacji tych informacji o zagrożeniach, poszukiwaniu powiązanych zachowań i dostosowywaniu wykrywania do dostępnej telemetrii sieciowej, tożsamościowej i endpointowej.