Атакующие используют уязвимость обхода аутентификации в Ivanti Connect Secure (ICS) - корпоративном решении для удалённого доступа к внутренней сети. Проблема CVE-2026-104935 имеет рейтинг CVSS 8.6, то есть относится к высокой степени опасности, и позволяет удалённому злоумышленнику без учётных данных выполнять произвольные команды на устройстве. Ivanti подтверждает: уязвимость применяли как уязвимость нулевого дня ещё до публичного раскрытия, пострадала ограниченная часть клиентов. В тот же день, 13 октября 2026 года, Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило CVE-2026-104935 в каталог Known Exploited Vulnerabilities (KEV) - перечень уязвимостей с подтверждённой эксплуатацией в реальных атаках.
Атаки на Ivanti Connect Secure через CVE-2026-104935
По классификации проблема попадает в категорию CWE-290 - обход аутентификации через подмену. Устройство принимает специально сформированные данные за подтверждение подлинности, поэтому атакующий обходится без логина и пароля. Дальше он выполняет на сервере команды, а их набор зависит от целей: разведка внутри сети, закрепление в системе, продвижение к другим узлам.
Ivanti Connect Secure стоит на границе корпоративной инфраструктуры. Сотрудники подключаются через него к рабочим ресурсам извне, поэтому устройство почти всегда доступно из интернета. Для атакующих такой узел удобен, и продукт уже привлекал их внимание: нулевые дни в его коде применяли в 2024 и 2025 годах.
Эксплуатация началась до раскрытия
Фирма цифровой криминалистики Volexity зафиксировала активность злоумышленника в начале октября 2026 года. Помимо CVE-2026-104935, атакующий применял ещё одну уязвимость - повышения привилегий, которая на тот момент оставалась незакрытой. Ivanti собирается исправить её позже.
История самой CVE-2026-104935 показывает, как быстро раскрытие превращается в атаку. Часть проблемы Ivanti нашла своими силами в ходе программы безопасности продуктов и закрыла в июльском выпуске 25.1.3.0. Пока исправление переносили на остальные поддерживаемые версии, началась эксплуатация.
Национальный центр кибербезопасности Нидерландов (NCSC) отмечает: публичного эксплойта - кода, использующего уязвимость, - пока нет, однако его появление ожидается в ближайшее время. Это повышает вероятность массовых попыток эксплуатации. Американский регулятор требует от федеральных ведомств устранить проблему до 16 октября, то есть в течение трёх дней после добавления в KEV. Для остальных организаций это тоже сигнал: случай отнесён к приоритетным, а сроки сжатые.
Какие версии закрыты
Исправления вышли для трёх линий кода. Ветка 25.1.1.1 и более ранние версии закрываются обновлением 25.1.1.2; ветка 25.1.2.2 и ранее - выпусками 25.1.3.0 и 25.1.3.1; ветка 22.8R2.4 и ранее - обновлением 22.8R2.5. Версии 22.7.x и ниже этой уязвимости не содержат.
Линии 22.7 и 22.8 доживают до 31 января 2027 года, после чего Ivanti снимает их с поддержки. Тем, кто ещё остаётся на них, вендор советует перейти на ветку 25.1. Переход на 25.1.3.0 требует новой аппаратной платформы либо новых виртуальных и облачных устройств, собранных по шаблону этой версии, поэтому миграцию лучше планировать заранее.
Что делать администраторам
Rapid7 советует ставить обновления в срочном порядке, вне обычного цикла исправлений. Случай не тот, когда можно дождаться планового окна обслуживания. Volexity опубликовала набор признаков компрометации, и проверять их имеет смысл даже после установки патча: на момент раскрытия надёжных индикаторов у самого вендора не было.
Дополнительно запускайте Integrity Checker Tool - встроенный инструмент проверки целостности системы. Если появились основания подозревать эксплуатацию, действуйте по официальным шагам восстановления, которые описал Ivanti. Пользователям, чьи устройства уже обновлены, отключать что-либо вручную не требуется: исправленные версии закрывают саму возможность обхода аутентификации.
История с CVE-2026-104935 продолжает серию атак на устройства на границе корпоративной сети. Такие системы доступны из интернета, обновляются реже внутренних сервисов и дают злоумышленнику путь вглубь инфраструктуры. Публичного эксплойта пока нет, но подтверждённая эксплуатация, добавление в каталог KEV и незакрытая вторая уязвимость оставляют эту историю открытой.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-104935
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://www.rapid7.com/blog/post/etr-ivanti-connect-secure-zero-day-exploited-in-the-wild-cve-2026-104935/
- https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US
- https://advisories.ncsc.nl/2026/ncsc-2026-0416.html
