CISA внесла ещё две уязвимости Ivanti Connect Secure в список эксплуатируемых
Три ошибки в Ivanti Connect Secure использовали в одной цепочке, которая позволяла выполнить код с root-правами без предварительной аутентификации. Для двух новых записей из каталога KEV уже выпущены исправления.
Агентство CISA добавило в каталог известных эксплуатируемых уязвимостей KEV две проблемы в Ivanti Connect Secure: CVE-2026-111357 с оценкой CVSS 8,8 и CVE-2026-118527 с оценкой 4,3. По данным The Hacker News, их уже используют в реальных атаках.
Эти уязвимости входят в цепочку из трёх ошибок, о которой ранее сообщила Volexity. Вместе с обходом аутентификации CVE-2026-104935 она позволяла удалённо выполнить код с правами root без входа в систему. CVE-2026-104935 CISA внесла в KEV ещё 13 октября.
CVE-2026-111357 связана с отсутствием аутентификации для критической функции и позволяет повысить привилегии уже аутентифицированному локальному пользователю. CVE-2026-118527 позволяет удалённому аутентифицированному атакующему загружать контролируемые им файлы в известное место на диске из-за предсказуемой генерации чисел или идентификаторов.
По наблюдениям Volexity, связанная с атаками группа UTA0576 не ограничивалась установкой веб-шеллов или вредоносного ПО. Злоумышленники извлекали учётные данные и ограниченный набор метаданных Active Directory, изучали систему и искали пароли администраторов и ключи восстановления BitLocker.
Исправления для CVE-2026-111357 и CVE-2026-118527 доступны в версиях Ivanti Connect Secure 25.1.1.3 и 22.8R2.6: они закрывают уязвимости в ветках 25.1.1.2 и более ранних, а также 22.8R2.5 и более ранних соответственно. Ivanti заявила, что в июльском выпуске 25.1.3.0 уже исправила часть затронутой проблемы и работала над переносом исправления в другие поддерживаемые версии, когда обнаружила эксплуатацию.
Федеральным гражданским ведомствам США предписано устранить CVE-2026-111357 до 2 ноября, а CVE-2026-118527 — до 13 ноября 2026 года.