CISA добавила два недостатка VPN Ivanti в каталог уязвимостей в качестве федерального срока для критических земель сегодня
Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) обновило свое предупреждение о безопасности 30 октября, чтобы добавить две уязвимости в корпоративном VPN-приборе Ivanti Connect Secure, CVE-2026-111357 и CVE-2026-118527, в свой каталог известных эксплуатируемых уязвимостей (KEV) - и крайний срок исправления, который он установил федеральным гражданским агентствам для критического, сегодня, 2 ноября. Ivanti Connect Secure широко используется для удаленного доступа компаниями и государственными учреждениями, и CISA говорит, что злоумышленники активно используют недостатки.
Согласно оповещению CISA, три изъяна цепи вместе: в сочетании с CVE-2026-104935, который был добавлен в каталог 13 октября, они позволяют удаленному, неаутентифицированному злоумышленнику выполнять произвольные команды, красть учетные данные и выводить данные. Пострадавшие версии: Connect Secure 25.1.1.2 и prior, 25.1.2.2 и prior, 22.8R2.5 и prior. Охранная фирма Volexity говорит, что актер, которого она отслеживает, как UTA0576 использовала цепочку с начала октября, в одном случае взломав полностью исправленный прибор, получив корневой доступ и перейдя прямо к учетным данным Active Directory.
Из двух недавно перечисленных недостатков, CVE-2026-111357 - это проблема недостающей аутентификации с рейтингом CVSS 8.8, которая позволяет местному аутентифицированному злоумышленнику прижиться; его федеральный срок - 2 ноября. CVE-2026-118527, проблема с предсказуемым идентификатором CVSS 4.3, позволяет удаленному аутентифицированному злоумышленнику загружать файлы в известное место на диске; его крайний срок - 13 ноября. Иванти выпустил фиксированные сборки 22.8R2.6 и 25.1.1.3 29 октября.
CISA призывает все организации, работающие с затронутыми устройствами, немедленно обновить последнюю версию. Он также предупреждает, что Integrity Checker Tool Иванти может не обнаружить использование CVE-2026-104935, поскольку команды злоумышленника выполняются в памяти; организациям, которые подозревают компромисс, нужны сетевые и криминалистические экспертизы памяти и должны следовать процедурам восстановления Иванти, сбросу паролей учетных записей, сертификатов и ключей. Также CISA отмечает, что Connect Secure версии 22.8 заканчивается 31 января 2027 года.
Источник: GSM · Соединённые Штаты (Английское издание · Оригинальное китайское издание)
Фото: 美国国土安全部总部（圣伊丽莎白园区）航拍。照片：Michael Hvozda／美国海岸警卫队，公共领域，经 Wikimedia Commons。
