CVE-2026-104935: Ivanti Connect Secure Zero-Day використовується для неаутентифікованого виконання коду

Ivanti розкрила CVE-2026-104935, вразливість високої критичності в Ivanti Connect Secure (ICS), яка активно експлуатується у реальних атаках. Недолік має оцінку CVSS 8.6 і дозволяє неавтентизованим зловмисникам обходити автентифікацію і виконувати довільні команди на вразливих VPN пристроях.

Вразливість стала відома після того, як Volexity дослідила скомпрометований пристрій Ivanti Connect Secure, який був повністю оновлений на момент дослідження. Раніше невідомий зловмисник, відомий під кодом UTA0576, поєднав обход автентифікації та віддалене виконання коду, покриті CVE-2026-104935, з окремим шляхом підвищення привілеїв, щоб досягти неавтентизованого виконання команд на рівні root.

Спостережена кампанія демонструє ризики безпеки, пов’язані з вразливостями у VPN інфраструктурі, що перебуває у доступі з інтернету. Після отримання привілеїв root, зловмисники націлилися на облікові дані, дані Active Directory, паролі LAPS, ключі відновлення BitLocker та іншу конфіденційну інформацію, яка могла б підтримати бічний рух глибше в середовище жертви.

Ivanti підтвердила 13 жовтня 2026 року, що вона знає про обмежену експлуатацію у дикій природі і закликала організації, які використовують вразливі версії, діяти негайно. CISA додала вразливість до свого каталогу відомих експлуатованих вразливостей.

Команди безпеки можуть використовувати платформу AI-Native Detection Intelligence від SOC Prime, щоб прискорити дослідження нових загроз та впроваджувати контент для виявлення у середовищах SIEM, EDR, XDR та Data Lake.

Prime Architect може додатково допомогти інженерам з виявлення, трансформуючи інтелект про нові загрози у логіку виявлення, запити для пошуку та правила, специфічні для середовища, в той час як Prime Hunt дозволяє ретроспективне дослідження по телеметрії організації.

Зв’яжіться з відділом продажів

Аналіз CVE-2026-104935

CVE-2026-104935 впливає на конкретні версії Ivanti Connect Secure і поєднує дві слабкості, що використовуються зловмисниками для переходу від неавтентизованого веб-запиту до виконання довільного коду в контексті облікового запису cgi-server.

Вразливість класифікована як обход автентифікації шляхом підробки за CWE-290. Згідно з Ivanti, проблема може бути експлуатована віддалено без облікових даних або взаємодії користувача, з оцінкою CVSS 8.6.

Volexity реконструювала ланцюг експлуатації, розслідуючи пристрій, що працює на Ivanti Connect Secure 22.8R2.4, Build 19097. Пристрій вважався повністю оновленим, коли шкідницька активність почалася 3 жовтня 2026. Дослідники почали розслідування інциденту 5 жовтня і згодом працювали з Ivanti для аналізу пам’яті, зображень диска та дампів пам’яті з ураженої системи.

Перша стадія зловживає поведінкою маршрутизації запитів, пов’язаною з публічно доступним кінцевим точком /dana-na/auth/url_default/welcome.cgi. Зловмисники можуть надати HTTP-заголовок X-DSCGI-PATH, що вказує на CGI-ресурс, який зазвичай вимагає автентифікації.

Рішення безпеки базується на публічному URL, тоді як заголовок контролює фактичний скрипт, що отримує запит. Ця невідповідність дозволяє зловмисникові маршрутизувати неавтентизовані запити до захищеного CGI-функціоналу.

UTA0576 використовував цей механізм для доступу до wu.cgi, завантажувача, що містить другу вразливість. Атакувальник надав шкідницький Perl-скрипт, замаскований під розширення .zip. Завантажувач тимчасово записував завантажений контент до /home/runtime/tmp/ перед перевіркою на валідність ZIP-архіву.

Хоча недійсний файл згодом був видалений, зловмисники використали короткий період між створенням файлу та його видаленням. Паралельні запити, що посилаються на тимчасовий файл через X-DSCGI-PATH, дозволили виконання Perl-навантаження перед видаленням.

Початкове навантаження запускало Bash, а потім закодовану Python-стадію, яка, головним чином, існувала в пам’яті. На цьому етапі атакувальник отримав виконання коду як обліковий запис cgi-server з нижчими привілеями.

Щоб підвищити привілеї, UTA0576 поєднав інше три-денне шляхів, що включає привілейовану службу dsinvoked та конфігураційний сховище DSCache. Атакувальники модифікували копію бібліотеки Ivanti в пам’яті, змінили конфігурацію привілейованого завдання з обслуговування та змусили dsinvoked виконати Perl-код, контрольований атакувальником, з привілеями root.

Після досягнення root доступу, експлойт відновив змінені в пам’яті конфігураційний та стан бібліотеки. Він також видалив відповідні записи з журналів налагодження Ivanti та аудиту Linux, значно зменшуючи доступні на диску артефакти.

Ця поведінка є особливо значною, оскільки Ivanti’s Integrity Checker Tool орієнтується на виявлення несподіваних змін файлів. Оскільки частини цього експлойту модифікують код тільки в пам’яті та відновлюють тимчасові зміни конфігурації після цього, Volexity виявила, що атака може ухилитися від виявлення інструментом.

Атакувальники також не встановили звичайну постійно діючу веб-оболочку чи бекдор першої стадії. Натомість UTA0576 повторно виконував весь ланцюг експлуатації кожного разу, коли потрібно було запустити іншу команду, і передав вихід команди безпосередньо через HTTPS-трафік експлойту.

Основна постексплуатаційна активність зосереджувалася на облікових даних та Active Directory. Volexity спостерігала, як атакувальники вилучали облікові дані, збережені на VPN-пристрої, запитували Active Directory, шукали паролі Windows LAPS та ключі відновлення BitLocker, здійснювали розпилення паролів, перевіряли журнали автентифікації та збирали трафік LDAP.

Зловмисник також використовував спеціальні інструменти Python та Kerberos для перевірки облікових даних та доступу до сенситивних атрибутів довідника. Файли, пов’язані з розвідкою та збором облікових даних, тимчасово розміщувались під /tmp/ перед ексфільтрацією та очищенням.

Атрибуція залишається невизначеною. Volexity відстежує актор під кодом UTA0576 та оцінює з низькою впевненістю, що його мотивація може бути кримінальною, а не шпигунською. Дослідники також оцінили з середньою впевненістю, що актор, можливо, використовував великі мовні моделі для допомоги у розробці експлойту або постексплуатаційної діяльності, базуючись на операційних характеристиках вторгнення.

Не виявлено жодного широко доступного, перевіреного POC для CVE-2026-104935 у базових джерелах на момент публікації. Проте Volexity опублікувала значні технічні деталі про ланцюг атаки, що означає, що організації повинні припустити, що додаткові актори можуть спробувати відтворити техніку.

Для виявлення CVE-2026-104935 захисники повинні контролювати високі обсяги запитів до /dana-na/auth/url_default/welcome.cgi, особливо коли заголовок X-DSCGI-PATH посилається на інший CGI-ресурс або тимчасовий файл.

Пом’якшення CVE-2026-104935

Ivanti випустила виправлення для компонентів обходу автентифікації та RCE, охоплених CVE. Організації, що використовують уражені версії Connect Secure, повинні негайно оновити їх, а не покладатися лише на перевірки цілісності.

Жовтнева директива безпеки Ivanti ідентифікує виправлені версії по всіх підтримуваних гілках, включаючи 22.8R2.5, 25.1.1.2, 25.1.3.0 та 25.1.3.1, залежно від використаної кодової лінії. Ivanti рекомендує перейти на гілку 25.x якнайшвидше, оскільки кодова лінія 22.x підходить до кінця життєвого циклу.

Окрема вразливість підвищення привілеїв, використана у спостереженому ланцюгу з трьох шляхів, ще не була виправлена на момент публікації аналізу Volexity 13 жовтня. Ivanti готувала виправлення для наступного випуску. Це робить встановлення виправлень для CVE-2026-104935 особливо важливим, оскільки блокування первинного обходу автентифікації та RCE попереджає нападників від досягнення стадії, необхідної для експлуатації локального підвищення привілеїв.

Організації також повинні продовжувати використовувати Ivanti’s Integrity Checker Tool, як рекомендує постачальник, але не повинні розглядати чистий результат як остаточний доказ того, що експлуатація не відбулася. Ivanti сама рекомендує поєднувати оновлення та перевірки цілісності з моніторингом мережі, оглядом журналів, контролем доступу та постійною валідацією пристроїв.

Щоб виявити експлуатацію CVE-2026-104935, захисники повинні перевірити телеметрію HTTP на невідповідності між запитуваним URL та значенням заголовка X-DSCGI-PATH. Особливо підозрілі значення, спостережені Volexity, включають шляхи, що посилаються на wu.cgi або файли під /home/runtime/tmp/.

Команди безпеки також повинні перевірити /tmp/ на незрозумілі скрипти або артефакти розвідки та розслідувати несподівану активність, що походить з VPN-пристрою у напрямку Active Directory, LDAP-служб, DNS-інфраструктури або внутрішніх систем автентифікації.

Відомі IOCs для CVE-2026-104935 з розслідуваного інциденту включають IP-адресу, контрольовану атакувальником, 108.165.147[.]64, підозрілу активність, пов’язану з /data/.icscap/, та повторювані запити, що націлюються на відкриту шлях welcome CGI. Ці індикатори повинні використовуватися поряд з поведінковим виявленням, оскільки зловмисники можуть легко змінювати інфраструктуру або змінювати тимчасові імена файлів.

Організації, що виявили ознаки компрометації, повинні провести мережеву та пам’яткову судову експертизу, а не покладатися виключно на перевірку диска. Облікові дані, що зберігаються або доступні через пристрій, слід вважати потенційно скомпрометованими, включаючи облікові дані служби LDAP, і повинні бути змінені після стримування.

Захисники також мають розслідувати Active Directory на підозрілі запити LDAP, розпилення паролів, доступ до атрибутів відновлення LAPS або BitLocker, ненормальну активність Kerberos та бічний рух, що походить від VPN-пристрою.

CISA додала недолік до свого каталогу відомих експлуатованих вразливостей 13 жовтня 2026 року, встановивши строк на 16 жовтня для усунення вразливості для відповідних федеральних цивільних агентств США. Це підтверджує, що організації повинні розглядати установу патчів як нагальний пріоритет, а не чекати на ширше поширення експлуатації.

Платформа AI-Native Detection Intelligence від SOC Prime може допомогти командам безпеки впроваджувати цю інтелект про загрози, шукати пов’язані поведінки і адаптувати виявлення до доступної телеметрії мережі, ідентичності та кінцевих точок.