Ivanti Connect Secure: трёх ошибок хватает, патча только на первую - нет

В октябре у Ivanti Connect Secure выстроилась цепочка из трёх ошибок. CVE-2026-104935 обходит вход, её CISA внесла 13 октября, отдельные сборки её уже закрывали. CVE-2026-111357 поднимает привилегии тому, кто уже оказался на устройстве. CVE-2026-118527 - про предсказуемые идентификаторы. По отдельности вторая и третья звучат скромнее. Вместе с первой CISA описывает удалённое выполнение команд без аутентификации, кражу учётных данных и выгрузку данных. 30 октября в каталог добавили и эти две.

Какая версия закрывает цепочку

Полный комплект - 25.1.1.3 или 22.8R2.6, они вышли 29 октября. Сборки вроде 25.1.1.2 и 22.8R2.5 закрывали обход входа и оставляли остальное. Линия 22.8 заканчивается 31 января 2027, Ivanti прямо советует уходить на 25.x, а не жить на мосте до последнего дня. CISA дала федеральным агентствам США срок до 2 ноября по CVE-2026-111357 и до 13 ноября по CVE-2026-118527. Для компании в Беларуси это не юридический дедлайн. Это ориентир, насколько короткое окно считают нормальным те, кого обязали патчить.

Если шлюз уже светился в интернет

CISA отдельно пишет: встроенная проверка целостности может не увидеть эксплуатацию CVE-2026-104935, потому что команды выполняются в памяти. Подозрение на компрометацию у них лечится не «поставили патч и поехали». Снимают резервную копию конфигурации, делают заводской сброс или пересобирают виртуальную машину, поднимают последнюю версию, возвращают конфиг и заново выпускают пароли, сертификаты и ключи API. Это неприятно для удалёнки на неделю. Это честнее, чем журнал, который злоумышленник с правами на устройстве уже мог почистить.