Ivanti Connect Secure: эксплойт 0-day CVE-2026-104935 для удалённого выполнения команд

Удалённый доступ к командам через уязвимость CVE-2026-104935 подтверждён

13 октября 2026 года Ivanti опубликовала бюллетень безопасности для CVE-2026-104935. Уязвимость имеет высокий уровень серьёзности и относится к обходу аутентификации путём подмены (CWE-290). Она затрагивает Ivanti Connect Secure (ICS). Показатель CVSSv3.0 для CVE-2026-104935 составляет 8.6. Уязвимость позволяет удалённому неаутентифицированному злоумышленнику выполнять произвольные команды.

Ivanti Connect Secure обеспечивает удалённый доступ к корпоративной сети

Ivanti Connect Secure — это популярное корпоративное VPN-решение. Продукт располагается на периметре корпоративной среды. Он исторически является целью для злоумышленников. В 2024 и 2025 годах уже фиксировалась эксплуатация других уязвимостей в режиме zero-day.

Эксплуатация CVE-2026-104935 началась до раскрытия информации

Ivanti сообщает об эксплуатации уязвимости в реальных условиях до её официального раскрытия. Атакам подверглось ограниченное число клиентов. Агентство по кибербезопасности и защите инфраструктуры США (CISA) подтвердило факт эксплуатации и добавило CVE-2026-104935 в каталог известных уязвимостей (KEV). Фирма Volexity обнаружила активность злоумышленников в начале октября 2026 года. Злоумышленник использовал CVE-2026-104935 как уязвимость zero-day. Он также применил ещё неисправленную уязвимость повышения привилегий, которую Ivanti планирует устранить позже.

Часть уязвимости была обнаружена в рамках программы безопасности продукта. Исправление появилось в релизе 25.1.3.0 от июля 2026 года. Эксплуатация происходила во время работы Ivanti над переносом исправления в другие поддерживаемые версии.

Обновиться до 25.1.1.2, 25.1.3.1 или 22.8R2.5

Ivanti выпустила обновления для устранения CVE-2026-104935. Затронутыми являются следующие версии:

• 25.1.1.1 и более ранние в соответствующей кодовой строке.
• 25.1.2.2 и более ранние в соответствующей кодовой строке.
• 22.8R2.4 и более ранние в соответствующей кодовой строке.

Исправленные версии:

• 25.1.1.2
• 25.1.3.0, 25.1.3.1
• 22.8R2.5

Версии 22.7.x и ниже не затронуты.

На момент публикации бюллетеня Ivanti не предоставила надёжных индикаторов компрометации. Volexity опубликовала несколько индикаторов на своём сайте. Rapid7 рекомендует искать признаки компрометации даже после установки обновления. Клиентам, подозревающим эксплуатацию, следует следовать инструкциям по восстановлению от вендора. Для получения актуальной информации по смягчению последствий следует обратиться к бюллетеню безопасности Ivanti. Клиенты Rapid7 могут оценить подверженность CVE-2026-104935 с помощью проверки уязвимости, которая будет доступна в контентном релизе от 14 октября.