Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило в каталог Known Exploited Vulnerabilities (KEV, перечень уязвимостей с подтверждённой эксплуатацией в реальных атаках) две уязвимости. Одна затрагивает оболочку Windows Shell, вторая - Ivanti Connect Secure. Злоумышленники уже применяют обе, поэтому CISA включила их в список проблем, которые требуют срочного закрытия. Рейтинг первой составляет 8.8 по шкале CVSS, второй - 8.6; производители относят обе к уровню High.
Две уязвимости в каталоге CISA
Внедрение команд в Windows Shell
Проблема кроется в командной оболочке Windows Shell. Разработчики Microsoft неверно обрабатывают специальные элементы в командах, из-за чего становится возможным внедрение команд. Атакующий обходит средство защиты по сети - то есть дистанционно, без физического доступа к машине. Успех при этом зависит от действия самого пользователя: в векторе CVSS указан параметр UI:R, жертва должна открыть файл, перейти по ссылке или выполнить похожую операцию.
Под угрозой клиентские Windows 10 и 11 нескольких выпусков, серверные редакции от Windows Server 2012 R2 до Windows Server 2025 вместе с вариантами Server Core, а также веб-почта Outlook.com. По классификации уязвимость относится к CWE-77. Права администратора атакующему не нужны, но и без участия человека сработать она не может.
Обход аутентификации в Ivanti Connect Secure
Ivanti Connect Secure - шлюз удалённого доступа, через который сотрудники подключаются к корпоративной сети извне. Обход аутентификации с помощью подмены (CWE-290) даёт удалённому атакующему без учётных данных возможность выполнять произвольные команды. Ни пароль, ни действие пользователя здесь не требуются: вектор CVSS содержит параметры PR:N и UI:N. Такое сочетание делает уязвимость удобной для массовых попыток эксплуатации - достаточно, чтобы шлюз был доступен из интернета.
Уязвимы версии до 25.1.3.0. Ветка 22.7R2.14 и более ранние сборки проблеме не подвержены, поскольку речь идёт о другом наборе кода.
Разница в условиях эксплуатации принципиальная. Брешь в Windows требует, чтобы жертва сама совершила действие, - это снижает масштаб атак. Ivanti срабатывает без какого-либо участия человека, поэтому для сетевого периметра она представляет большую угрозу.
Исправления доступны. Microsoft опубликовала их 13 октября, установить обновления можно через центр обновления Windows. Владельцам Ivanti Connect Secure нужно перейти на версию 25.1.3.0 или 25.1.3.1; для тех, кто остался на ветке 22.8, выпустили сборку 22.8R2.5 и 22.7R2.14. Пока обновление не установлено, шлюз лучше изолировать от внешнего периметра и ограничить доступ по спискам доверенных адресов. Для федеральных агентств США попадание в KEV означает обязательный срок устранения, а для всех остальных - повод поставить эти две уязвимости в начало очереди на исправление.
Общее у этих проблем одно: эксплуатировать их начали раньше, чем большинство организаций успело установить патчи. Каталог KEV пополняется по факту использования уязвимости в атаках, а не по формальной тяжести, поэтому рейтинги 8.8 и 8.6 здесь второстепенны. Шлюзы удалённого доступа и почтовые сервисы остаются удобной целью: они открыты в интернет и обслуживают множество пользователей одновременно, а значит, одна успешная попытка даёт атакующему широкий доступ.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-104935
- https://www.cve.org/CVERecord?id=CVE-2026-96951
- https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-adds-two-known-exploited-vulnerabilities-catalog
- https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951
