Агентство CISA включило в каталог Known Exploited Vulnerabilities (KEV - перечень уязвимостей с подтверждённой эксплуатацией) две уязвимости. Попадание в этот каталог означает подтверждённую активную эксплуатацию, а не теоретическую возможность атаки. Одна затрагивает Ivanti Connect Secure: локальный пользователь повышает привилегии до root, случаи эксплуатации зафиксированы в октябре 2026 года. Вторая - в GitLab Community Edition и Enterprise Edition: неаутентифицированный злоумышленник выполняет произвольный код на сервере.
Повышение привилегий в Ivanti и удалённое выполнение кода в GitLab
Обе записи опубликованы в октябре 2026 года. Карточка Ivanti появилась 15 октября и обновлена 28 октября, карточка GitLab - 13 и 29 октября. Каталог KEV агентство пополняет по свидетельствам эксплуатации, а не по формальной оценке опасности. Для администраторов поэтому важен сам факт включения: уязвимость уже применяли на практике. Ссылок на консультации вендоров в переданных данных нет, так что выводы об исправлениях придётся сверять с их уведомлениями.
Ivanti Connect Secure - решение для организации удалённого доступа. Уязвимость в нём получила 7 из 10 по шкале CVSS (общая система оценки уязвимостей). Это уровень High. Атака идёт локально: злоумышленнику нужен доступ к системе, причём привилегии достаточно низкие, то есть хватает обычной учётной записи без административных прав. Сложность атаки при этом высокая, а участие пользователя не требуется.
Механика связана с доверием к функциональности из недоверенной среды (CWE-829). Служебный компонент, который обрабатывает вызовы, принимает данные конфигурации кэша как доверенные. Поэтому локальный пользователь получает максимальные права, то есть root. В записи прямо сказано, что уязвимость эксплуатировали в реальных атаках в октябре 2026 года. Затронута версия 22.8R2.4, а исправленной версии и обходных мер запись не приводит.
В GitLab картина другая. Оценка максимальная - 10 из 10, уровень Critical. Атака идёт по сети, учётные данные не нужны, участие пользователя тоже. Иными словами, достаточно отправить серверу специально составленный запрос.
Причина - недостаточная проверка регулярных выражений в конфигурации CI/CD (непрерывная интеграция и доставка). Регулярное выражение - это шаблон для поиска и разбора текста. Специально составленный шаблон вызывает переполнение целого числа (CWE-190): значение выходит за границы допустимого диапазона и считается неверно. В итоге неаутентифицированный пользователь выполняет произвольный код на сервере, то есть запускает свои команды. Сервер хранит код проектов и настройки сборки, поэтому такой доступ открывает и эти данные.
Уязвимы ветки 19.2, 19.3 и 19.4 - до выпусков 19.2.8, 19.3.5 и 19.4.2 соответственно. GitLab сообщает, что проблему устранила. Отдельного поля с исправленной версией в записи нет, поэтому точный номер нужно брать из уведомления вендора. Ошибку нашёл исследователь и передал её через программу вознаграждений HackerOne. Сама запись случаев эксплуатации не описывает: основанием для KEV стали свидетельства активной эксплуатации, на которые ссылается CISA.
Ограничение обеих записей - отсутствие ссылок на консультации и обходных мер. У Ivanti исправленной версии в записи нет вовсе, поэтому о наличии патча по переданным данным судить нельзя. У GitLab общий статус - "не затронуто": продукты вне перечисленных веток по предварительным данным не уязвимы. Такой вывод предварительный, а не подтверждённая безопасность.
Обе уязвимости различаются по условиям атаки. В Ivanti нужен локальный доступ и высокая сложность, в GitLab - только сеть и низкая сложность. Объединяет их подтверждённая эксплуатация и отсутствие обходных мер в записях.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-111357
- https://www.cve.org/CVERecord?id=CVE-2026-97229
- https://www.cisa.gov/news-events/alerts/2026/10/29/cisa-adds-two-known-exploited-vulnerabilities-catalog
