Три 0-day в Ivanti Connect Secure: UTA0576 получает root на VPN без пароля, один баг ещё не закрыт

13 октября 2026 года Ivanti закрыла CVE-2026-104935 (CVSS 8.6) в VPN-шлюзах Connect Secure — обход аутентификации и удалённое выполнение кода, которые атакуют как минимум с 3 октября. В связке с третьей, пока не исправленной ошибкой повышения привилегий они дают атакующему root без логина. Обновитесь до 25.1.1.2, 25.1.3.x или 22.8R2.5 и проверьте шлюз на компрометацию.

CISA в тот же день внесла уязвимость в каталог KEV. Цепочку раскрыла Volexity: группировка UTA0576 не ставила веб-шеллов, а тихо собирала доменные учётные данные — поэтому вопрос не только в патче, но и в информационной безопасности всей сети за VPN. Для сравнения: несколько дней назад на тех же граничных устройствах уже атаковали SonicWall SMA1000.

Что раскрыли Ivanti и Volexity 13 октября

Под одним идентификатором CVE-2026-104935 объединены две ошибки: обход аутентификации и RCE. Вместе они позволяют выполнять команды от имени служебного пользователя cgi-server. Третья уязвимость — локальное повышение привилегий — поднимает доступ до root. Исправление для неё Ivanti обещает выпустить «в ближайшие недели»; пока закрыты только первые два звена цепочки.

По данным Volexity, эксплуатация началась 3 октября, расследование компания начала 5 октября. Ivanti подтверждает атаки на «ограниченное число клиентов». Volexity со средней уверенностью предполагает, что UTA0576 использует большие языковые модели для разработки эксплойта и действий после взлома, а мотив группы с низкой уверенностью оценивает как криминальный, а не шпионский.

Какие версии Connect Secure уязвимы и что ставить

• 25.1.1.1 и ниже → обновление до 25.1.1.2.
• 25.1.2.2 и ниже → обновление до 25.1.3.0 или 25.1.3.1.
• 22.8R2.4 и ниже → обновление до 22.8R2.5. Ветка 22.8 снимается с поддержки 31 января 2027 года — переезд на 25.x стоит планировать уже сейчас.

Патч закрывает внешнюю точку входа: без обхода аутентификации и RCE эскалация до root недоступна удалённо. Но если шлюз уже скомпрометирован, обновление не удаляет последствий.

Что делала UTA0576 внутри сети

Атакующие сознательно не оставляли бэкдоров на диске. Эксплойт правит библиотечный код только в памяти и восстанавливает хранилище конфигурации, поэтому встроенный Integrity Checker Tool изменений не видит — об этом прямо предупреждают и Volexity, и CISA. После входа группа:

• вытаскивала сохранённые на шлюзе учётные данные, включая доменные аккаунты для LDAP;
• искала через собственный LDAP-инструмент пароли LAPS и ключи восстановления BitLocker;
• разбирала уже лежащие на устройстве дампы трафика в поиске паролей LDAP, HTTP Basic и NTLM-хешей;
• проводила password spraying по учёткам Active Directory, выгружала конфигурацию и журналы аутентификации.

Как проверить шлюз и что делать командам

1. Обновить все экземпляры Connect Secure до исправленных сборок, включая резервные узлы кластера.
2. Искать следы в трафике и логах: Volexity советует смотреть на массовые запросы к /dana-na/auth/url_default/welcome.cgi с заголовком X-DSCGI-PATH, не совпадающим с путём URL, и на артефакты в /tmp/.
3. При подозрении на взлом — по рекомендации CISA: сохранить конфигурацию, сбросить устройство до заводских настроек, обновить, восстановить конфигурацию, затем сменить все пароли, отозвать сертификаты и перевыпустить API-ключи.
4. Проверить домен: сменить пароли сервисных LDAP-учёток шлюза, ротировать LAPS и проверить, к каким ключам BitLocker могли обращаться.

Регулярный внешний пентест периметра не заменяет патч-менеджмент, но помогает заранее увидеть, какие граничные устройства и сервисные учётки дают кратчайший путь к домену.

Часто задаваемые вопросы

Хватит ли обновления, если Integrity Checker ничего не нашёл? Нет. Цепочка работает в памяти, и ICT её не обнаруживает. Если шлюз был доступен из интернета с 3 октября на уязвимой версии, исходите из возможной компрометации и проверьте домен.

Опасна ли третья, неисправленная уязвимость? Сама по себе — это повышение привилегий, ей нужен начальный доступ. После установки патча удалённый путь к ней закрыт, но обновление с её исправлением всё равно нужно поставить сразу после выхода.

Затронута ли ветка 22.7? По данным Volexity, 22.7R2.14 и более ранние в этой ветке не затронуты, но она давно вне поддержки — держать её на периметре рискованно по другим причинам.

Источники

CISA — CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure, 13 октября 2026 года.

Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, 13 октября 2026 года.

SecurityWeek — Ivanti Zero-Day Chain Gave Attackers Root Access to Fully Patched VPN.