В первой неделе октября 2026 года исследователи из Volexity обнаружили активную эксплуатацию цепочки из трех zero-day уязвимостей в Ivanti Connect Secure (ICS) VPN устройствах, позволяющую неаутентифицированным атакующим получить root-доступ к системе. Неизвестная группа злоумышленников, отслеживаемая как UTA0576, успешно скомпрометировала полностью пропатченные устройства (версия 22.8R2.4) через комбинацию обхода аутентификации, удаленного выполнения кода и повышения привилегий. Ivanti выпустила патч для двух уязвимостей 13 октября 2026 года под идентификатором CVE-2026-104935, однако исправление для третьей уязвимости повышения привилегий ожидается только в ближайшие недели.
Ключевые факты: Три zero-day уязвимости объединены в цепочку; CVE-2026-104935 (CVSS 8.6) исправлена 13 октября 2026; третья уязвимость повышения привилегий остается непатченной; атакующие получают root доступ; кража LDAP credentials и Active Directory метаданных; Kerberoast атаки и поиск LAPS паролей; затронуты версии до 25.1.2 и 22.8R2.4.
Цепочка атаки UTA0576 состоит из трех последовательных этапов, каждый из которых использует отдельную уязвимость для продвижения к следующей цели. Первый этап — обход аутентификации в welcome.cgi, позволяющий атакующим направлять запросы к произвольным CGI файлам, включая защищенные аутентификацией. Механизм работает следующим образом: злоумышленник отправляет сетевой запрос на /dana-na/auth/url_default/welcome.cgi — публичный скрипт, обслуживающий страницу входа ICS VPN, который разрешен без аутентификации. Этот сетевой запрос указывает другой скрипт в своих заголовках: X-DSCGI-PATH: /home/webserver/htdocs/dana/fb/smb/wu.cgi. URL используется для определения, разрешен ли запрос, в то время как путь заголовка используется для определения назначения запроса. Таким образом, атакующий может передавать запросы к CGI скрипту, обходя проверки аутентификации.
Второй этап — удаленное выполнение кода (RCE) через уязвимость в wu.cgi. UTA0576 отправляет Perl скрипт с расширением .zip в обработчик загрузки wu.cgi. Обработчик вычисляет MD5 хэш имени файла, предоставленного клиентом, и записывает загруженный контент в /home/runtime/tmp/
| Этап атаки | Уязвимость | Механизм эксплуатации | Результат |
|---|---|---|---|
| 1. Обход аутентификации | CVE-2026-104935 | Манипуляция заголовком X-DSCGI-PATH в welcome.cgi | Доступ к защищенным CGI скриптам |
| 2. Удаленное выполнение кода | CVE-2026-104935 | Race condition в wu.cgi при загрузке Perl скрипта | Выполнение кода в контексте cgi-server |
| 3. Повышение привилегий | Не присвоен CVE | Патчинг libdsplibs.so в памяти для dsinvoked | Выполнение команд как root |
Race condition возникает между выполнением и удалением: если запрос на выполнение достигает загруженного скрипта до того, как wu.cgi удалит его, код атакующего выполняется. Отправка нескольких запросов на выполнение в быстрой последовательности увеличивает вероятность достижения файла в этом временном окне. Этот метод требует точной синхронизации, но оказался достаточно надежным для успешной эксплуатации в реальных атаках.
Race condition техника: Атакующий загружает Perl скрипт с .zip расширением в wu.cgi. Файл записывается на диск, но удаляется после failed проверки ZIP. Параллельные запросы на выполнение через X-DSCGI-PATH достигают файла до удаления, обеспечивая выполнение кода.
Третий и наиболее критический этап цепочки — повышение привилегий с уровня пользователя cgi-server до root. ICS VPN устройства запускают привилегированный фоновый сервис dsinvoked, который выполняет задачи обслуживания по требованию с правами root. Сервис dsinvoked ищет, какую программу запускает каждая задача, в DSCache — общем хранилище конфигурации ICS.
UTA0576 патчит процесс cgi-server в памяти, модифицируя библиотеку Ivanti /home/lib/libdsplibs.so, что позволяет изменить DSCache и переконфигурировать существующую задачу обслуживания для запуска интерпретатора Perl вместо легитимного скрипта. Эксплойт код затем запрашивает, чтобы dsinvoked выполнил задачу, предоставляя вредоносный Perl скрипт в качестве аргумента; dsinvoked выполняет скрипт как root. Эта техника особенно опасна, поскольку обходит традиционные механизмы контроля доступа, эксплуатируя доверие между компонентами системы.
На момент публикации Ivanti все еще работает над исправлением этой уязвимости повышения привилегий, которое будет включено в будущий релиз в ближайшие недели. Это означает, что даже организации, применившие патч для CVE-2026-104935, остаются уязвимыми к повышению привилегий, если атакующий уже получил первоначальный доступ к системе через другие векторы.
| Компонент системы | Функция | Уязвимость |
|---|---|---|
| dsinvoked | Привилегированный сервис обслуживания | Доверяет DSCache конфигурации без верификации |
| DSCache | Общее хранилище конфигурации | Может быть модифицирован через память процесса |
| libdsplibs.so | Библиотека Ivanti | Патчится в памяти для изменения поведения |
| cgi-server | Процесс обработки CGI запросов | Используется как точка входа для инъекции |
Получив root доступ, UTA0576 предпринял серию sophisticated post-exploitation действий, направленных на кражу учетных данных и разведку внутренней сети. Первым действием было извлечение credentials, хранящихся на ICS VPN устройстве, таких как доменные учетные данные, используемые с LDAP. Атакующие также сдампировали и эксфильтровали ограниченные метаданные Active Directory, что позволило им получить информацию о структуре домена и пользователях.
Злоумышленники развернули кастомный Kerberos инструмент, способный выполнять Kerberoast атаки и тестирование учетных данных. Kerberoast — это техника, при которой атакующие запрашивают сервисные билеты для учетных записей служб и пытаются взломать их оффлайн для получения паролей. Дополнительно был развернут кастомный Python LDAP инструмент для поиска в Active Directory LAPS (Local Administrator Password Solution) паролей локальных администраторов, ключей восстановления BitLocker и атрибутов, содержащих пароли, через скомпрометированную сервисную учетную запись Active Directory.
Post-exploitation активности: Извлечение LDAP credentials; дамп Active Directory метаданных; Kerberoast атаки; поиск LAPS паролей и BitLocker recovery keys; локальная DNS и host разведка; сбор конфигурации ICS VPN; password spraying; packet capture LDAP трафика; анализ логов аутентификации для идентификации валидных usernames.
Атакующие также провели локальную DNS и host разведку для картографирования внутренней сети и идентификации потенциальных целей для lateral movement. Была собрана конфигурация ICS VPN устройства, включая методы аутентификации, что может помочь в планировании дальнейших атак. Password spraying атаки были выполнены для попытки компрометации дополнительных учетных записей с общими паролями.
Особенно тревожным является packet capture LDAP трафика с скомпрометированного ICS VPN устройства. Это позволяет атакующим перехватывать учетные данные в реальном времени, когда пользователи аутентифицируются через VPN. Инспекция логов аутентификации для идентификации валидных usernames дополняет эту технику, позволяя злоумышленникам сфокусировать свои атаки на активных учетных записях.
| Post-exploitation действие | Цель | Потенциальный ущерб |
|---|---|---|
| Извлечение LDAP credentials | Доменные учетные данные | Компрометация домена |
| Kerberoast атаки | Сервисные учетные записи | Получение паролей служб |
| Поиск LAPS паролей | Локальные администраторы | Доступ к рабочим станциям |
| BitLocker recovery keys | Зашифрованные диски | Обход шифрования |
| Packet capture LDAP | Трафик аутентификации | Кража credentials в реальном времени |
| Password spraying | Массовые учетные записи | Компрометация дополнительных пользователей |
Для обнаружения атак Volexity рекомендует мониторить большое количество сетевых запросов к /dana-na/auth/url_default/welcome.cgi. Вредоносные запросы будут использовать значение заголовка, подобное следующим: X-DSCGI-PATH: /home/webserver/htdocs/dana/fb/smb/wu.cgi или X-DSCGI-PATH: /home/runtime/tmp/
Администраторы должны проверять директорию /tmp/ на наличие свидетельств post-exploitation действий. Если вы подозреваете, что ваше устройство было скомпрометировано, проведите сетевую и memory forensics для идентификации свидетельств эксплуатации. Ivanti Integrity Checker может не быть способным идентифицировать компрометацию устройства, поэтому требуются более продвинутые инструменты анализа.
Критические IOCs: Множественные запросы к /dana-na/auth/url_default/welcome.cgi с заголовком X-DSCGI-PATH; файлы в /tmp/ директории; модифицированная libdsplibs.so в памяти; подозрительная активность dsinvoked сервиса; аномальный LDAP трафик; Kerberos ticket requests для сервисных учетных записей.
Ivanti рекомендует немедленно обновить ICS VPN устройства, работающие на следующих версиях, до новейшей версии: 25.1.1 и более ранние, 25.1.2, 22.8R2.4. Патч для CVE-2026-104935 был выпущен 13 октября 2026 года и доступен через обычные каналы обновлений Ivanti. Однако организации должны понимать, что этот патч не защищает от уязвимости повышения привилегий, которая остается неисправленной.
Для организаций, которые подозревают компрометацию, критически важно провести полное forensic расследование, включая анализ памяти, сетевого трафика и логов аутентификации. Простое применение патча недостаточно, если атакующие уже получили доступ к системе и установили персистентность. Все credentials, которые могли быть скомпрометированы через VPN устройство, должны быть немедленно сброшены, включая сервисные учетные записи и пароли локальных администраторов.
Дополнительные меры защиты включают сегментацию сети для ограничения lateral movement от VPN устройств, внедрение multi-factor authentication для всех привилегированных учетных записей, мониторинг аномальной Kerberos активности и регулярный аудит LAPS конфигурации. Организации также должны рассмотреть возможность внедрения network detection rules для идентификации паттернов трафика, связанных с этой цепочкой эксплойтов.
Эта цепочка уязвимостей демонстрирует продолжающуюся проблему с безопасностью VPN решений, которые часто становятся целями для sophisticated атак из-за их критической роли в корпоративной инфраструктуре. Комбинация обхода аутентификации, RCE и повышения привилегий позволяет атакующим получить полный контроль над системой без каких-либо действительных учетных данных, что делает эти уязвимости особенно опасными.
Для индустрии кибербезопасности этот инцидент подчеркивает важность defense-in-depth подхода, где ни один единственный слой защиты не является достаточным. Даже полностью пропатченные системы могут быть уязвимы к zero-day эксплойтам, что требует дополнительных слоев защиты, таких как network segmentation, behavioral monitoring и rapid incident response capabilities.
Организации, использующие Ivanti Connect Secure, должны приоритизировать применение доступных патчей, провести thorough assessment своей VPN инфраструктуры на признаки компрометации и внедрить дополнительные меры защиты для снижения риска будущих атак. Быстрое реагирование на такие уязвимости критически важно, поскольку злоумышленники активно эксплуатируют их в дикой природе, как демонстрирует активность UTA0576.
«В мире кибербезопасности нет серебряной пули. Защита строится на множестве слоев, каждый из которых замедляет атакующего и увеличивает вероятность обнаружения. VPN устройства — это критическая инфраструктура, требующая особого внимания и многоуровневой защиты».
— Брюс Шнайер, криптограф и эксперт по кибербезопасности
