Для кого эта статья: администраторов Ivanti Connect Secure (VPN-устройств). Эта страница основана на каталоге KEV и оповещении CISA, NVD и блоге исследовательской компании; в ней нет шагов атаки или кода эксплойта. Бюллетень самой Ivanti нам прочитать не удалось (страница не загрузилась), поэтому номера исправленных версий здесь не приводятся.
Развивается: эта страница будет обновляться по мере публикации новых сведений
По состоянию на 31 октября 2026 года (JST)Пока неизвестно
- Исправленные версии для каждой из трех уязвимостей (бюллетень Ivanti нам прочитать не удалось)
- Существует ли исправление для CVE-2026-118527
- Запись NVD для CVE-2026-118527 (на момент нашей проверки в NVD не найдена)
- Сколько организаций затронуто и кто стоит за атаками
CISA добавила CVE-2026-111357 и CVE-2026-118527 в каталог KEV 30 октября и в тот же день обновила свое оповещение. CVE-2026-104935 была добавлена 13 октября. Мы проверили ленту KEV CISA, оповещение CISA, NVD и блог исследовательской компании 31 октября.
Что делать сегодня
Составьте перечень устройств Connect Secure и их версий
Включите виртуальные и облачные устройства. CISA называет затронутыми 25.1.1.2 и ниже, 25.1.2.2 и ниже и 22.8R2.5 и ниже. По данным CISA, версия 22.8 достигает конца срока службы 31 января 2027 года, поэтому запланируйте и переход на 25.x.
Обновитесь до последней версии
CISA предписывает организациям обновиться до последней версии, как указано в бюллетене Ivanti и в ее руководстве по совместимости при обновлении и миграции на 25.x. Бюллетень нам прочитать не удалось, поэтому перед началом подтвердите там исправленную версию для вашей линии.
Проверяйте на компрометацию, а не только наличие исправления
Исследовательская компания и CISA обе говорят, что Integrity Checker Tool может пропустить эксплуатацию CVE-2026-104935. CISA говорит, что для определения компрометации нужна криминалистика сети и памяти. Если устройство было доступно из интернета с начала октября, попросите вашего поставщика реагирования на инциденты сделать это до обновления или вместе с ним (наша оценка). Также просмотрите попытки перемещения по сети, исходившие от устройства, как советует исследовательская компания.
При подозрении на компрометацию пересоберите устройство и сбросьте учетные данные
Это охватывает руководство CISA из оповещения от 13 октября: создайте резервную копию конфигурации, сбросьте до заводского состояния и обновите (виртуальные и облачные устройства пересоберите), восстановите конфигурацию, затем замените учетные данные. То есть пароли доменных, административных и локальных учетных записей, сертификаты, хранящиеся на устройстве, ключи API и учетные данные сервера лицензий.
Отрежьте то, до чего можно добраться, пока вы не уверены
Ограничьте интерфейс управления устройства сетью администрирования и проверьте, до чего устройство может добраться внутри вашей сети. Заранее решите, как удаленные сотрудники будут подключаться, если устройство придется отключить.
Три уязвимости, которые объединяются
- CVE-2026-104935
- Обход аутентификации подменой; удаленный неаутентифицированный злоумышленник может выполнять произвольные команды (CISA KEV, добавлена 13 октября). Описана в нашем октябрьском обзоре
- CVE-2026-111357
- Отсутствие аутентификации для критически важной функции (CISA); NVD описывает ошибку, ведущую к повышению привилегий до root. CVSS v3.1 7,0 (локально, высокая сложность, низкие привилегии). Добавлена в KEV 30 октября; срок 2 ноября; криминалистическая сортировка: да
- CVE-2026-118527
- Генерация предсказуемых идентификаторов (CWE-340); удаленный аутентифицированный злоумышленник может загружать файлы с контролируемым им содержимым в известное место на диске. Добавлена в KEV 30 октября; срок 13 ноября; криминалистическая сортировка: нет
- Цепочка
- CISA говорит, что CVE-2026-111357 и CVE-2026-118527 можно по отдельности объединять с CVE-2026-104935 (и друг с другом). CISA говорит, что эксплуатация позволяет удаленно, без аутентификации выполнять произвольные команды, что используется для кражи учетных данных и вывода данных
- Затронутые версии
- 25.1.1.2 и ниже, 25.1.2.2 и ниже, 22.8R2.5 и ниже (оповещение CISA, обновлено 30 октября)
- Исправления
- CVE-2026-104935: исправления выпущены 13 октября (исследовательская компания). CVE-2026-111357: исследовательская компания говорит, что исправление опубликовано 29 октября. CVE-2026-118527: не найдено. Подтверждайте в бюллетене Ivanti
Почему оценка CVSS всего 7,0: сама по себе CVE-2026-111357 требует локального доступа и учетной записи с низкими привилегиями. Оценка не отражает цепочку. По отчету исследовательской компании, сочетание обхода аутентификации, ошибки обработки файлов и этого повышения привилегий давало неаутентифицированный контроль уровня root над устройством, которое на тот момент было полностью обновлено (22.8R2.4). Оценивайте риск по цепочке, а не по одной оценке (наша оценка).
Списки версий не совпадают полностью. В описании CVE-2026-111357 в NVD названа 22.8R2.4, тогда как в списке затронутых версий NVD есть 22.8R2–22.8R2.5 и выпуски 25.1 до 25.1.1.3. Список CISA шире (25.1.2.2 и ниже). Используйте самый широкий список, пока бюллетень Ivanti не прояснит вопрос.
1. Обход аутентификации
CVE-2026-104935 (KEV 13 окт.)
2. Загрузка файла
CVE-2026-118527 (KEV 30 окт.)
3. Повышение привилегий до root
CVE-2026-111357 (KEV 30 окт.)
Хронология
3 октября
Американская исследовательская компания говорит, что видела начало эксплуатации (ее блог, опубликованный 13 октября).13 октября
По данным исследовательской компании, Ivanti публикует исправления для обхода аутентификации; CISA добавляет CVE-2026-104935 в KEV; исследовательская компания публикует свои выводы.29 октября
Исследовательская компания обновляет блог, сообщая, что Ivanti опубликовала исправление для повышения привилегий.30 октября
CISA добавляет CVE-2026-111357 (срок 2 ноября) и CVE-2026-118527 (срок 13 ноября) в KEV и обновляет оповещение и затронутые версии.
Что известно и что нет
| Пункт | Статус |
|---|---|
| Эксплуатация | CISA включила все три в KEV; говорят, что злоумышленники крадут учетные данные и данные |
| Начало эксплуатации | 3 октября, по данным одной исследовательской компании; Ivanti в том, что мы смогли прочитать, не подтверждала |
| Исправленные версии | Нами не подтверждены; бюллетень Ivanti не загрузился |
| Исправление CVE-2026-118527 | Не найдено |
| NVD для CVE-2026-111357 | Проанализирована; CVSS 7,0 указан в записи CVE.org; координатор CISA отмечает эксплуатацию как «active», а технический эффект как «total» |
| NVD для CVE-2026-118527 | Запись на момент нашей проверки не найдена |
| Кто атакует и сколько жертв | Не раскрыто |
Источники
Проверено 31 октября 2026 года (JST).
- CISA, каталог известных эксплуатируемых уязвимостей (CVE-2026-111357 и CVE-2026-118527 добавлены 30 октября 2026) — cisa.gov
- CISA, «CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure» (обновлено 30 октября 2026) — cisa.gov
- NVD, CVE-2026-111357 — nvd.nist.gov
- Ivanti, «Security Advisory Ivanti Connect Secure (CVE-2026-104935)» — hub.ivanti.com (при нашей проверке не загрузился; исправленные версии нужно подтверждать здесь)
- Блог компании по исследованию безопасности, «A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days» (13 октября 2026, обновлено 29 октября) — блог
История обновлений
2026-10-31: Первая версия, основанная на каталоге KEV и оповещении CISA, NVD и блоге исследовательской компании.
Читайте далее
- Первая уязвимость в цепочке: Эксплуатируемые уязвимости граничных устройств, середина октября 2026
- Защита VPN-устройств: Как защитить VPN-устройства и удаленный доступ
- Расстановка приоритетов: Как решить, какие CVE исправлять первыми (CVSS, EPSS, KEV)
- Шаги реагирования: Руководство по устранению уязвимостей
- Термины: Что такое CVSS?