Цепочка zero-day в Ivanti дала атакующим root-доступ к полностью обновлённому VPN
В Ivanti Connect Secure обнаружена критическая уязвимость CVE-2026-104935, позволяющая неаутентифицированным злоумышленникам удалённо выполнять код с повышенными привилегиями. Атака работает даже на полностью пропатченных VPN-устройствах, что делает её особенно опасной. Уязвимость эксплуатируется в связке с другими zero-day — в результате атакующие получают root-доступ к системе.
Подробности
Уязвимость затрагивает Ivanti Connect Secure — корпоративное VPN-решение, широко используемое организациями по всему миру для организации защищённого удалённого доступа сотрудников. Ключевая особенность CVE-2026-104935 заключается в том, что она эксплуатируется в составе цепочки zero-day уязвимостей. Это значит, что для достижения root-доступа атакующие комбинируют несколько ранее неизвестных уязвимостей, обходя таким образом существующие механизмы защиты. Именно поэтому полностью пропатченная система всё равно остаётся уязвимой — обновления закрывают известные дыры, но не могут предотвратить эксплуатацию ещё не раскрытых цепочек. Успешная эксплуатация приводит к получению злоумышленником привилегий уровня root — наивысшего уровня доступа в операционной системе. Это даёт атакующему полный контроль над устройством: возможность читать и изменять конфигурацию, перехватывать трафик, разворачивать вредоносное ПО и перемещаться вглубь корпоративной сети. На момент публикации информации Ivanti ещё не выпустила патч, устраняющий CVE-2026-104935. Детали эксплуатации и полный состав цепочки уязвимостей не раскрываются, чтобы не провоцировать дополнительные атаки.Что делать
До выхода официального обновления от Ivanti рекомендуется принять следующие меры: - Ограничить сетевой доступ к интерфейсам Ivanti Connect Secure из интернета, если это возможно, используя дополнительные средства фильтрации трафика. - Усилить мониторинг событий безопасности на VPN-устройствах: отслеживать подозрительные процессы, несанкционированные изменения конфигурации и аномальную сетевую активность. - Проверить наличие признаков компрометации (IOC) на устройствах Ivanti Connect Secure. Опубликованные индикаторы следует использовать для проверки журналов и системных артефактов. - Обеспечить сегментацию сети, чтобы в случае компрометации VPN-устройства атакующий не смог беспрепятственно перемещаться по внутренней инфраструктуре. - Следить за официальными рекомендациями и обновлениями безопасности от Ivanti — патч ожидается в ближайшее время. Также важно убедиться, что на всех устройствах включена многофакторная аутентификация (MFA) для пользовательских учётных записей, хотя в данном случае она не защищает от самой уязвимости, поскольку эксплуатация происходит до аутентификации. Итог: CVE-2026-104935 — серьёзная угроза для организаций, использующих Ivanti Connect Secure, поскольку она позволяет получить root-доступ к полностью обновлённым устройствам через цепочку zero-day. До выпуска патча критически важно усилить мониторинг и ограничить внешний доступ к VPN-интерфейсам.Источник: SecurityWeek