Ivanti Connect Secure: исправление CVE-2026-104935 и расследование более ранней компрометации

Что это

Состояние на 25 октября 2026 года. CVE-2026-104935 — обход аутентификации, позволяющий выполнять команды в Ivanti Connect Secure без входа в систему. Эта статья использует предупреждение CISA и сообщения Ivanti о безопасности от 13 октября 2026 года. Перед устранением повторно проверьте бюллетень разработчика, совместимые с оборудованием пути обновления и отдельное исправление повышения привилегий. В октябрьском сообщении Ivanti это дополнительное исправление всё ещё описывалось как предстоящее; статья не утверждает, что вся описанная цепочка атаки исправлена. Сообщение Ivanti.

Почему это важно

CISA сообщает о краже учётных данных и эксфильтрации данных и подтверждает включение уязвимости в свой каталог Known Exploited Vulnerabilities 13 октября 2026 года. Команды могут выполняться в памяти, поэтому результат Integrity Checker Tool (ICT) не позволяет исключить эксплуатацию. Для исследования этой возможности нужен криминалистический анализ сети и памяти. Предупреждение CISA.

В более раннем объяснении ICT компания Ivanti разграничивает сравнение целостности файлов и обнаружение вредоносного ПО: внешний пакет сравнивает файлы и хэши для конкретной версии, а внутренние и внешние проверки дополняют непрерывный мониторинг. Эти исторические рекомендации объясняют работу инструментов; старые инструкции по исправлению конкретного инцидента не являются инструкциями по восстановлению для данной уязвимости. Вопросы и ответы об ICT.

Как применять

• Зафиксируйте установленную ветку ПО и доступность извне для каждого устройства. CISA указывает как затронутые 25.1.1.1 и более ранние, 25.1.2.2 и более ранние, а также 22.8R2.4 и более ранние версии в соответствующих ветках. Не превращайте эти сведения по отдельным веткам в один числовой диапазон для всех релизов.
• Выберите совместимое исправление. Ivanti перечисляет 25.1.1.2, 25.1.3.0, 25.1.3.1 и 22.8R2.5 в зависимости от ветки ПО. Прежде чем выбирать образ, подтвердите поддерживаемый путь перехода для устройства. Это исправления данной CVE, а не заявление об устранении всех уязвимостей. Сводка релизов разработчика.
• Совместно с командой реагирования сохраните свидетельства до восстановления, которое может нарушить работу. Если шлюзом управляет Neurons for Secure Access, используйте Administration > Tenant Logs, чтобы просмотреть записи об администраторах и событиях и экспортировать их. Зафиксируйте необъяснимые обновления, изменения конфигурации и перезагрузки для расследования. В документации элемент управления экспортом журналов называется Export Logs. Руководство по администрированию.
• Запустите подходящий внутренний ICT и актуальный внешний ICT. В том же сервисе управления выберите Administration > Integrity Checker Tool, затем шлюз и Scan now. Сохраните отчёт и доступный снимок состояния. Убедитесь, что сканирование действительно завершилось; пустая история сканирований не означает чистого результата. Обратитесь в поддержку за интерпретацией аномалий.
• При подозрении на компрометацию следуйте последовательности восстановления CISA: создайте резервную копию конфигурации, сбросьте оборудование к заводским настройкам или пересоздайте виртуальный либо облачный экземпляр, обновите ПО и восстановите конфигурацию. Сбросьте пароли доменных, административных и локальных учётных записей; отзовите и перевыпустите сохранённые сертификаты; замените сохранённые API-ключи и учётные данные сервера лицензий. Рекомендации по восстановлению.
• После восстановления проверьте установленный релиз, повторите применимые проверки целостности и продолжайте мониторинг сети и анализ журналов. Ivanti прямо рассматривает установку исправлений как одну из составляющих непрерывной проверки целостности устройства. Сообщение о безопасности.

Подводные камни

Аномалия целостности требует расследования, а чистый результат сканирования не доказывает отсутствия компрометации в прошлом. Храните вывод криминалистического исследования отдельно от записи об обновлении. Не используйте инструкции по исправлению или сбросу из более раннего инцидента Ivanti, не сверившись с актуальным бюллетенем и типом развёртывания.