2 ноября Ivanti выпустила исправления для двух уязвимостей Connect Secure, которые до этого закрывала молча. CVE-2026-111357 — повышение привилегий высокой опасности, CVE-2026-118527 позволяет аутентифицированному пользователю загружать файлы на устройство. Вместе с обходом аутентификации CVE-2026-104935, патч для которого вышел в октябре, они давали цепочку до выполнения кода с правами root.
Атаки шли как минимум с 1 октября. Исследователи Volexity связывают их с группой UTA0576 и отмечают неприятную особенность: вредоносное ПО не устанавливалось. Вместо этого атакующие заново эксплуатировали устройство для каждой команды, а журналы правили, чтобы обойти Integrity Checker Tool самой Ivanti. Именно поэтому проверка «на устройстве нет подозрительных файлов» здесь ничего не доказывает.
Компания объясняет, почему не выпустила все патчи сразу: когда стало известно об эксплуатации CVE-2026-104935, исправление уже проходило QA, и в Ivanti решили не задерживать закрытие основного пути атаки. Про две оставшиеся уязвимости стало известно позже.
Что делать
CISA 27 октября внесла CVE-2026-104935 в каталог эксплуатируемых уязвимостей и дала федеральным ведомствам срок до пятницы. По данным Shadowserver, в интернете видно больше 5 000 экземпляров Connect Secure, и сколько из них обновлено, неизвестно.
Помимо установки всех трёх патчей стоит исходить из того, что устройство могло быть скомпрометировано: проверить историю перезагрузок и административных действий за октябрь, ограничить доступ к интерфейсу управления и, если есть подозрения, перевыпустить учётные данные, которые проходили через шлюз.
On 2 November Ivanti released fixes for two Connect Secure flaws it had not previously disclosed. CVE-2026-111357 is a high-severity privilege escalation; CVE-2026-118527 lets an authenticated user upload files to the device. Combined with the CVE-2026-104935 authentication bypass patched in October, they formed a chain to root-level code execution.
The attacks had been running since at least 1 October. Volexity attributes them to a group it tracks as UTA0576 and notes an uncomfortable detail: no malware was deployed. Instead, the attackers re-exploited the device for every command they ran and edited logs to evade Ivanti’s own Integrity Checker Tool. That is why “no suspicious files on the box” proves nothing here.
Ivanti explains the staggered disclosure: when exploitation of CVE-2026-104935 became known, a fix was already in QA, and the company chose not to delay closing the primary attack path. The other two flaws surfaced later.
What to do
CISA added CVE-2026-104935 to its known-exploited catalog on 27 October and gave federal agencies until Friday. Shadowserver tracks more than 5,000 internet-exposed Connect Secure instances, and how many are patched is unknown.
Beyond installing all three updates, assume the appliance may have been compromised: review reboot and administrative history for October, restrict access to the management interface, and, if anything looks off, reissue the credentials that passed through the gateway.