Агентство по кибербезопасности и защите инфраструктуры CISA внесло в каталог Known Exploited Vulnerabilities (KEV, перечень уязвимостей с подтверждённой эксплуатацией) две уязвимости в Ivanti Connect Secure. Попадание в KEV означает подтверждённую активную эксплуатацию: агентство ссылается на свидетельства того, что ошибки применяют в реальных атаках. Одна из них позволяет повысить привилегии до уровня root, то есть до полных прав в системе. Вторая связана с предсказуемыми идентификаторами.
Повышение привилегий и предсказуемые идентификаторы в Connect Secure
Обе записи касаются одного продукта - шлюза удалённого доступа Ivanti Connect Secure. Такие шлюзы стоят на границе сети, поэтому ошибка в них даёт точку входа во внутреннюю инфраструктуру. В каталог KEV уязвимости попадают на основании свидетельств реальной эксплуатации, а не лабораторных демонстраций. Для первой из них запись CVE прямо говорит об эксплуатации в атаках в октябре 2026 года.
Уязвимой в записи указана версия 22.8R2.4. Причина - внутренний брокер, который запускает задачи, слишком доверяет конфигурационным данным DSCache. Из-за этого пользователь с низкими привилегиями может подняться до root и получить полный контроль над устройством. Тип ошибки CNA описывает как включение функциональности из недоверенной области контроля.
Условия атаки в записи изложены словами. Доступ нужен локальный, привилегии - низкие, участие пользователя не требуется. Сложность при этом высокая: успех зависит от совпадения условий на конкретном устройстве. Оценка по CVSS 3.1 - 7 из 10, уровень High по классификации CNA. Конфиденциальность, целостность и доступность оценены как высокие.
Вторая запись, CVE-2026-118527, описана как генерация предсказуемых чисел или идентификаторов. Такой класс ошибок позволяет угадать служебные значения, если устройство строит их на слабом источнике случайности. Других подробностей в переданных данных нет: ни версии, ни оценки, ни описания механизма. В каталоге KEV обе записи отнесены к Ivanti Connect Secure.
Исправленную версию запись CVE не называет. Обходных мер в ней тоже нет. Номер патча и сроки его выхода нужно искать в уведомлении Ivanti: в переданных данных их нет. Пока исправление не обозначено, первый шаг для администратора - проверить, какая версия установлена на устройстве.
Для приоритизации это существенно. Добавление в KEV означает, что ошибку уже используют, а номер исправления в записи отсутствует. Шлюз удалённого доступа обычно доступен из интернета, поэтому повышение привилегий на нём открывает путь дальше по сети. Отслеживать обновление записи CVE и сообщения вендора придётся самостоятельно.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-111357
- https://www.cve.org/CVERecord?id=CVE-2026-118527
- https://www.cisa.gov/news-events/alerts/2026/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog
