Для кого эта статья: сетевые команды и команды безопасности, которые используют VPN-шлюзы, межсетевые экраны, почтовые шлюзы и другие периферийные устройства (оборудование между вашей сетью и интернетом). Страница основана на бюллетенях безопасности вендоров и открытых данных CISA. О том, как работают атаки, здесь не рассказывается.
Ситуация развивается: страница будет обновляться по мере новых публикаций
По состоянию на 24 октября 2026 годаПока неизвестно
- Исправленные версии Ivanti Connect Secure по веткам (этот сайт не смог получить текст бюллетеня Ivanti)
- Исправление для уязвимости повышения привилегий в Ivanti Connect Secure, о которой сообщалось
- Сколько организаций затронуто каждой уязвимостью
Все пять уязвимостей есть в KEV, и все вендоры выпустили исправления. По сообщениям, исправление для уязвимости повышения привилегий в Ivanti Connect Secure, использованной в тех же атаках, ещё не вышло. Страница будет обновлена после пересмотра бюллетеней.
Быстрая проверка: касается ли это вас?
В таблице указаны дата добавления каждой уязвимости в KEV (каталог CISA с уязвимостями, о которых известно, что их эксплуатируют) и срок для федеральных агентств США, как он записан в KEV.
| Продукт | CVE | Нужен вход? | Добавлено в KEV / срок | Что делать |
|---|---|---|---|---|
| Ivanti Connect Secure (VPN) | CVE-2026-104935 | Нет | 13 окт. / 16 окт. | Обновить; проверить на компрометацию |
| Palo Alto Networks PAN-OS (межсетевой экран) | CVE-2026-0322 | Да (высокие привилегии) | 14 окт. / 17 окт. | Обновить; ограничить доступ к управлению |
| Fortinet FortiOS и другие | CVE-2025-61624 | Да (администратор) | 16 окт. / 19 окт. | Обновить; уйти с 7.2 и старее |
| Cisco Secure Email Gateway | CVE-2026-76519 | Нет | 14 окт. / 17 окт. | Обновить Content Scanner Tools или AsyncOS |
| Продукты Atlassian Data Center | CVE-2026-21589 | Нет | 15 окт. / 18 окт. | Обновить; ограничить внешний доступ |
13 окт.
Добавлена Ivanti (срок 16-го)
14 окт.
Добавлены PAN-OS, Cisco (срок 17-го)
15 окт.
Добавлена Atlassian (срок 18-го)
16 окт.
Добавлена Fortinet (срок 19-го)
Ivanti Connect Secure (CVE-2026-104935)
- Тип
- Обход аутентификации через подмену (CWE-290). Удалённый неаутентифицированный злоумышленник может выполнять произвольные команды
- Серьёзность
- CVSS v3.1 8.6
- Затронуты
- 25.1.1.1 и ниже, 25.1.2.2 и ниже, 22.8R2.4 и ниже (оповещение CISA)
- Исправлено
- Исправленную версию для своей ветки уточните в бюллетене Ivanti
- Эксплуатация
- При раскрытии Ivanti сообщила, что знает об ограниченной эксплуатации в реальных атаках. CISA добавила уязвимость в KEV 13 октября и сообщает, что она используется для кражи учётных данных и вывода данных
Ivanti опубликовала бюллетень 13 октября; в блоге в тот же день компания попросила клиентов с затронутыми версиями немедленно обновиться до исправленной версии и регулярно запускать Integrity Checker Tool. Этот сайт не смог получить текст бюллетеня Ivanti, поэтому номера исправленных версий здесь не приводятся. Исправленную версию для вашей ветки смотрите в бюллетене. По данным CISA, ветка 22.8 достигает конца срока поддержки 31 января 2027 года.
CISA сообщает, что команды злоумышленника выполняются в памяти, поэтому Integrity Checker Tool от Ivanti может не обнаружить эксплуатацию, а чтобы определить, была ли компрометация, нужны сетевая криминалистика и анализ памяти. При подозрении на компрометацию CISA рекомендует следующее.
Сделайте резервную копию конфигурации
Создайте резервную копию конфигурации устройства.
Сбросьте к заводским настройкам и обновите
Сбросьте устройство к заводским настройкам и обновите его до последней версии. Для виртуальных и облачных систем пересоздайте экземпляр и обновите.
Восстановите конфигурацию
Восстановите конфигурацию из резервной копии.
Смените учётные данные
Сбросьте пароли всех доменных, административных и локальных учётных записей, отзовите и заново выпустите сохранённые сертификаты, сбросьте сохранённые ключи API и учётные данные сервера лицензий.
Сообщается, но не подтверждено
Американская компания по безопасности, расследовавшая атаки, написала 13 октября, что видела эксплуатацию с 3 октября и что в атаках использовалась цепочка из трёх уязвимостей: обход аутентификации, запись файла и повышение привилегий. По её данным, Ivanti планирует исправить уязвимость повышения привилегий в версии, которая выйдет в ближайшие недели. Этот сайт не смог подтвердить это по тексту бюллетеня Ivanti. После обновления продолжайте следить за следующим бюллетенем Ivanti.
Palo Alto Networks PAN-OS (CVE-2026-0322)
- Тип
- Внедрение кода в интерфейсе управления (CWE-94). Аутентифицированный злоумышленник может выполнять произвольный код от имени root на межсетевом экране
- Серьёзность
- CVSS v4.0 8.6; 8.5, если доступ к управлению ограничен через промежуточный узел (jump box)
- Условия
- Сетевой доступ к интерфейсу управления и вход с высокими привилегиями. Особая конфигурация не нужна
- Затронуты
- PAN-OS 10.2, 11.1, 11.2, 12.1 и 12.2 на PA-Series, VM-Series и Panorama
- Не затронуты
- Cloud NGFW и Prisma Access (действий не требуется)
- Эксплуатация
- Palo Alto Networks сообщает, что видела очень ограниченную эксплуатацию, нацеленную на интерфейс управления
Исправленные версии распределены подробно по веткам и по уровню исправлений (hotfix, -h). В конце каждой ветки: 12.2.4 или новее, 12.1.10-h2 или новее, 11.2.16 или новее, 11.1.16-h3 или новее и 10.2.18-h12 или новее. Исправления для промежуточных версий (например, 11.2.13-h3) смотрите в таблице бюллетеня. Неподдерживаемым версиям нужно перейти на поддерживаемую исправленную версию.
В бюллетене сказано, что известных обходных решений нет. Риск наибольший, когда интерфейс управления доступен из интернета; вендор рекомендует разрешать доступ к управлению только с доверенных внутренних IP-адресов. Клиенты с Threat Prevention получают ограниченную защиту от Threat ID 510046 и 510047, для которых требуется расшифровка SSL. Рекомендуемое исправление — обновление.
Fortinet FortiOS и другие (CVE-2025-61624)
- Тип
- Обход пути в CLI (CWE-22). Привилегированный злоумышленник может записывать или удалять произвольные файлы, передавая специально составленные аргументы существующим командам
- Серьёзность
- CVSS v3 6.0 (Fortinet оценивает как средний уровень)
- Условия
- Вход администратора. В KEV указано, что нужен профиль администратора как минимум с правами на чтение и запись
- Опубликовано
- 14 апреля 2026 года (первоначальный бюллетень). Добавлено в KEV 16 октября
- Эксплуатация
- В бюллетене указано: Known Exploited: Yes, без подробностей
Уязвимость была раскрыта полгода назад и только сейчас добавлена в KEV. Если в апреле вы отложили её как уязвимость средней серьёзности, требующую права администратора, пересмотрите это решение сейчас.
| Продукт | Затронуты | Действие |
|---|---|---|
| FortiOS 7.6 | 7.6.0–7.6.4 | Обновить до 7.6.5 или новее |
| FortiOS 7.4 | 7.4.0–7.4.9 | Обновить до 7.4.10 или новее |
| FortiOS 7.2, 7.0, 6.4 | Все версии | Перейти на исправленную версию |
| FortiProxy 7.6 / 7.4 | 7.6.0-7.6.4 / 7.4.0-7.4.11 | 7.6.5+ / 7.4.12+ (уйти с 7.2, 7.0) |
| FortiPAM 1.7 | 1.7.0 | 1.7.1+ (уйти с 1.6 и старее; 1.8 не затронута) |
| FortiSwitchManager 7.2 / 7.0 | 7.2.0-7.2.7 / 7.0.0-7.0.6 | 7.2.8+ / 7.0.7+ |
В бюллетене обходных решений нет. Fortinet сообщает, что доступен виртуальный патч (сигнатура FortiGuard). Поскольку условие — учётная запись администратора, ограничьте круг тех, кто может обращаться к интерфейсу управления, отключите неиспользуемые учётные записи администраторов и потребуйте многофакторную аутентификацию для входа администраторов (рекомендация этого сайта).
Cisco Secure Email Gateway (CVE-2026-76519)
- Тип
- Относительный обход пути (CWE-23), ведущий к записи произвольного файла. Запускается письмом со специально составленным вложением и может привести к выполнению команд от имени root
- Серьёзность
- CVSS v3.1 9.8
- Условия
- Вход не нужен. Затронуты только устройства, где включена File Reputation (часть Cisco AMP) и она назначена почтовой политике, а Content Scanner Tools старше 25.3.0.5525
- Исправлено
- Content Scanner Tools 25.3.0.5525 или новее (перезапуск не нужен), либо AsyncOS 15.5.5-014 или 16.5.0-780. Версии 16.0 и выпуски до 16.5 нужно перевести на 16.5.0-780
- Не затронуты
- Secure Email and Web Manager, Secure Web Appliance. Cisco исправила облачный сервис, клиентам обновляться не нужно, но компания связалась с клиентами, у которых найдены индикаторы компрометации, и рекомендует сменить учётные данные и ключи
- Эксплуатация
- Cisco PSIRT сообщает, что узнала об активной эксплуатации в октябре 2026 года
Обходного решения нет. Приём почты закрыть нельзя, но по рекомендации Cisco для усиления защиты нужно разделить управление и почтовый трафик по разным сетевым интерфейсам и разрешить доступ к устройству только известным доверенным хостам. В веб-интерфейсе проверьте, отмечен ли пункт Enable File Reputation в настройках Advanced Malware Protection ваших почтовых политик, а версию Content Scanner Tools проверьте в CLI (contentscannerstatus). Если устройство затронуто, обновите Content Scanner Tools. Включение автоматических обновлений помогает быстрее получить следующее исправление.
В бюллетене Cisco есть процедура проверки системных журналов на признаки компрометации; выполните её на каждом участнике кластера. Если найден индикатор или проверка не завершилась, Cisco просит обратиться в Cisco TAC. Поскольку доступ root позволяет злоумышленникам скрыть следы, Cisco также рекомендует просмотреть сетевые журналы и журналы межсетевого экрана на предмет подозрительных загрузок на внешние адреса.
Продукты Atlassian Data Center (CVE-2026-21589)
5 октября Atlassian раскрыла уязвимость, позволяющую неаутентифицированному злоумышленнику читать определённые файлы в корне веб-приложения во всех версиях Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo и Crowd Data Center, а также Crucible и Fisheye (CVSS v4.0 9.3, оценка Atlassian). 15 октября она была добавлена в KEV. Atlassian сообщает, что не может подтвердить, затронуты ли экземпляры клиентов, и рекомендует попросить вашу службу безопасности проверить их на признаки компрометации. Облачные продукты исправлены.
Исправленные версии зависят от продукта (например, Confluence Data Center 9.2.26 и 10.2.19; Jira Software Data Center 9.12.40, 10.3.26 и 11.3.12). Если обновиться сразу нельзя, Atlassian советует отключить экземпляр от интернета или ограничить внешний доступ, а подозрительные URL блокировать правилом WAF или обратного прокси.
Что общего у этих пяти
Все пять находятся на устройствах или серверах, доступных из интернета, и их эксплуатация может дать злоумышленнику путь во внутреннюю сеть. Даже две уязвимости, для которых нужен вход (PAN-OS и FortiOS), оказываются в одном шаге от эксплуатации — украденного пароля администратора, если интерфейс управления открыт в интернет.
Практики, при которых всё повторится в следующий раз
- Интерфейсы управления доступны из любой точки интернета
- Работа считается законченной после установки патча
- Уязвимости откладывают, потому что для них нужен вход
- Нет перечня используемых продуктов и версий
Практики, ограничивающие ущерб в следующий раз
- Интерфейсы управления доступны только из административных сетей или через VPN
- Журналы сохраняют до обновления, а компрометацию проверяют по рекомендациям вендора
- Уязвимости из KEV исправляют за несколько дней, нужен вход или нет
- Есть перечень периферийных устройств, их версий и открытости интерфейсов управления
По мнению этого сайта, периферийное устройство нельзя считать защищённым только потому, что оно обновлено. По словам CISA, для Ivanti Connect Secure собственное средство проверки вендора может пропустить эксплуатацию, а также сообщается о ещё одной неисправленной уязвимости. Обновление закрывает точку входа, но не удаляет злоумышленника, который уже внутри. Для периферийных устройств из KEV считайте обновление, проверку на компрометацию и смену учётных данных одной задачей.
О том, как найти открытые интерфейсы управления, рассказано в материале Как защитить VPN-устройства и удалённый доступ, а о том, как расставлять приоритеты по KEV, — в материале Как решить, какие CVE исправлять первыми (CVSS, EPSS, KEV). В том же месяце эксплуатировалась и платформа управления SD-WAN (VeloCloud Orchestrator CVE-2026-114625).
Источники
- CISA, Known Exploited Vulnerabilities Catalog (JSON-фид, версия от 23 октября 2026 года) — cisa.gov
- CISA, «CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure» (13 октября 2026 года) — cisa.gov
- Ivanti, Security Advisory Ivanti Connect Secure (CVE-2026-104935) — hub.ivanti.com
- Ivanti, «October 2026 Security Update» (13 октября 2026 года) — ivanti.com
- Singapore CSA, «Active Exploitation of Vulnerability in Ivanti Connect Secure» (AL-2026-147) — csa.gov.sg
- Анализ атак на Ivanti Connect Secure от американской компании по безопасности (13 октября 2026 года) — блог компании по безопасности
- Palo Alto Networks, «CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface» — security.paloaltonetworks.com
- Fortinet, FG-IR-26-122 «Path Traversal in CLI» (CVE-2025-61624) — fortiguard.fortinet.com
- Cisco, «Cisco Secure Email Gateway Arbitrary File Write Vulnerability» (cisco-sa-esa-afw-zqYJkjxp) — cisco.com
- Atlassian, «CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products» — confluence.atlassian.com
История обновлений
2026-10-24: первая публикация. Основана на бюллетенях вендоров, каталоге KEV и оповещении CISA.
Читайте дальше
- Защита открытых устройств: Как защитить VPN-устройства и удалённый доступ
- Приоритеты исправлений: Как решить, какие CVE исправлять первыми (CVSS, EPSS, KEV)
- Эксплуатировалась в том же месяце: VeloCloud Orchestrator CVE-2026-114625
- Проверка на компрометацию: Как проверить, не взломан ли сервер
- Термины: Что такое обход каталогов (path traversal)? / Что такое CVSS?