Ако шлюзът ти Ivanti Connect Secure е достъпен от интернет, третирай случая като проблем за реагиране при инцидент, а не просто като задача за инсталиране на пач. По данни от докладите нападателите са започнали да използват уязвимостите през октомври, а CISA предупреждава, че инсталирането на актуализациите може да не премахне натрапник, който вече е проникнал.
Изследователи описват верига от три zero-day уязвимости, чрез които нападателите можели да получат достъп на ниво root без удостоверяване, да откраднат идентификационни данни и да изнесат данни. CISA посочва сред засегнатите версии 25.1.1.2 и по-ранни, 25.1.2.2 и по-ранни, както и 22.8R2.5 и по-ранни. Виж предупреждението на CISA и съобщението за сигурността на Ivanti за точните поправки, приложими за твоето устройство.
„1 октомври“ е предупредителен сигнал, не потвърдена начална дата
Данни от разузнаването за заплахи сочат признаци на експлоатация още на 1 октомври. Отделно, Volexity съобщава, че е наблюдавала верига от атаки срещу устройство на клиент, започнала на 3 октомври, а разследването ѝ е започнало на 5 октомври. Това са различни наблюдения, затова не приемай 1 октомври за потвърдена дата на първоначалното проникване.
Според докладите веригата включва CVE-2026-104935, CVE-2026-111357 и CVE-2026-118527. Първата уязвимост е поправена на 13 октомври, а корекциите за другите две са издадени на 29 октомври, според публикациите и актуализираните разкрития. През октомври CISA добави уязвимостите в каталога си с известни експлоатирани уязвимости.
Един детайл заслужава особено внимание: разследващите съобщават за манипулиране на логове и изпълнение на код в паметта. Това може да направи обикновената проверка привидно успокояваща, когато всъщност не бива да е така. Volexity и CISA предупреждават, че Integrity Checker Tool на Ivanti може да не открие всички признаци на компрометиране.
Пачни шлюза. После прецени дали трябва да го изградиш наново.
Инсталирай своевременно подходящата актуализация на Ivanti. Но ако устройството е било изложено на риск през периода на експлоатация или откриеш подозрителна активност, не приемай, че актуализацията е изгонила нападателя. CISA препоръчва мрежова и паметова криминалистична проверка, а при съмнение за компрометиране след това и процедурата за възстановяване на Ivanti.
Възстановяването може да включва архивиране на конфигурацията, връщане на устройството до фабричните настройки и надграждането му (или повторно изграждане на облачна или виртуална инстанция), след което конфигурацията се възстановява. Ще трябва също да смениш паролите за домейна, администратора и локалните акаунти, както и да оттеглиш и преиздадеш съхранените сертификати и идентификационни данни, включително API ключове и идентификационни данни за сървъра за лицензи.
Volexity публикува и насоки за търсене, специфични за случая, включително необичайни заявки към /dana-na/auth/url_default/welcome.cgi с несъответстващ хедър X-DSCGI-PATH. В доклада се споменават /data/.icscap/ и IP адресът 108.165.147[.]64. Това са следи от едно разследване, а не изчерпателен списък с индикатори. Сравни ги с актуалните насоки на Volexity и CISA, преди да правиш изводи.
Ако отговаряш за някой от тези шлюзове, помоли екипите по сигурност и мрежи още днес да потвърдят версията на устройството, периода на излагане на риск и плана за възстановяване. Ако не можеш да изключиш компрометиране, потърси помощ за реагиране при инцидент, преди отново да използваш устройството като доверена част от средата.
Запази спешна 15-минутна консултация за реагиране при инцидент
Ще ти помогнем да подредиш следващите стъпки, без никакво обвързване.