CISA призывает срочно закрыть уязвимость Ivanti Connect Secure, эксплуатируемую как zero-day

Агентство по кибербезопасности и защите инфраструктуры США (CISA) выпустило экстренное предупреждение, призывающее специалистов по безопасности немедленно устранить уязвимость в Ivanti Connect Secure (ICS). По данным ведомства, атаки с использованием этой бреши фиксируются как минимум с 1 октября и носят характер эксплуатации zero-day — то есть на момент начала атак исправления ещё не существовало. Проблема важна прежде всего для организаций, которые используют Ivanti Connect Secure в качестве VPN-решения для удалённого доступа сотрудников. Подобные шлюзы часто оказываются на периметре корпоративной сети, и их компрометация открывает злоумышленникам путь во внутреннюю инфраструктуру. Именно поэтому CISA настаивает на оперативных действиях, а не на плановом обновлении в рамках обычного цикла обслуживания.

Подробности

Согласно предупреждению CISA, уязвимость Ivanti Connect Secure эксплуатируется в реальных атаках с 1 октября и более. Ведомство настоятельно рекомендует группам безопасности немедленно применить исправление. CISA традиционно публикует такие уведомления, когда речь идёт о критически значимых брешах, затрагивающих широкий круг организаций, — особенно если уязвимость уже используется атакующими. Zero-day-эксплуатация означает, что защитные механизмы и сигнатуры на момент старта атак не покрывали данную угрозу: у злоумышленников было временное преимущество. В таких случаях промедление с патчем напрямую увеличивает окно возможности для компрометации. Точные технические параметры уязвимости — например, её идентификатор CVE, вектор атаки (RCE, обход аутентификации или иной класс), а также конкретные затронутые версии Ivanti Connect Secure — в исходном сообщении BleepingComputer не приводятся. По этой причине мы не дополняем публикацию неподтверждёнными деталями и рекомендуем сверяться с официальными бюллетенями Ivanti и уведомлениями CISA.

Что делать

- Незамедлительно применить исправление для Ivanti Connect Secure, рекомендованное производителем и CISA. Не откладывайте установку патча до планового окна обслуживания. - Проверьте, какие версии Ivanti Connect Secure используются в вашей инфраструктуре, и убедитесь, что обновление установлено на всех экземплярах. - Обратитесь к официальным источникам — бюллетеням безопасности Ivanti и рекомендациям CISA — за точными инструкциями по устранению уязвимости. - Если исправление на данный момент недоступно для вашей версии, следуйте временным мерам компенсации, которые публикует производитель. - Усильте мониторинг подключений к VPN-шлюзу: аномальная активность, необычные сессии и попытки доступа из нетипичных геолокаций могут указывать на попытку эксплуатации. - Проверьте журналы за период с 1 октября на предмет признаков компрометации. - Убедитесь, что для административного доступа к Ivanti Connect Secure настроены MFA и ограничения по IP, где это возможно. Итог: уязвимость Ivanti Connect Secure уже используется в реальных атаках как zero-day с начала октября, и CISA призывает администраторов действовать немедленно. Своевременное применение патча и проверка журналов помогут снизить риск компрометации периметра.

Источник: BleepingComputer