Volexity начала расследование 5 октября после подозрительной активности на Ivanti Connect Secure 22.8R2.4 (build 19097). Аппарат на момент вторжения был полностью пропатчен, а следы эксплуатации уходят как минимум на 3 октября. Атакующую группу исследователи обозначили как UTA0576.
Три уязвимости, одна цепочка
29 октября Ivanti обновила advisory и назвала три проблемы:
- CVE-2026-104935 (CVSS 8.6) — обход аутентификации и удалённое выполнение кода из-за разного разбора запросов на публичном login-эндпоинте и в backend-маршрутизации CGI;
- CVE-2026-111357 (CVSS 8.8) — повышение привилегий;
- CVE-2026-118527 (CVSS 4.3) — загрузка файла с предсказуемым именем.
Сначала злоумышленники обращались к welcome.cgi, подменяя routing-заголовок, и попадали в защищённые CGI-скрипты без логина. Затем wu.cgi записывал загруженный файл на диск до проверки, что это настоящий ZIP. Perl-скрипт недолго был доступен, и параллельные запросы успевали выполнить его от имени cgi-server. Дальше Python-стадия била по привилегированному dsinvoked, который доверял конфигурации maintenance-задач в DSCache: временная подмена библиотеки в памяти и перенаправление задачи дали выполнение кода с root. После этого конфигурацию и память вернули обратно.
Что забрали
UTA0576 вытаскивала учётные данные аппарата, а через сервисный аккаунт Active Directory запрашивала пароли Windows LAPS, ключи восстановления BitLocker, атрибуты с паролями и метаданные аккаунтов. В наборе — LDAP-запросы, проверка Kerberos, password spraying, разведка внутреннего DNS, анализ журналов аутентификации и перехваченного трафика. Web shell и постоянный бэкдор не использовались: команды шли через повторяющиеся HTTPS-запросы. Часть следов удалили из debug-логов Ivanti и audit-логов Linux.
Что делать
Патчи — 25.1.1.3 и 22.8R2.6. Одного integrity check мало: изменения жили только в памяти, а логи чистили. Нужны снимки памяти, диска и core dumps, проверка сервисных аккаунтов и бокового перемещения.
Volexity opened its investigation on 5 October after suspicious activity on an Ivanti Connect Secure 22.8R2.4 appliance (build 19097). The device was fully patched at the time, and exploitation traces back to at least 3 October. The researchers track the intruders as UTA0576.
Three flaws, one chain
On 29 October Ivanti updated its advisory with three vulnerabilities:
- CVE-2026-104935 (CVSS 8.6) — authentication bypass and remote code execution caused by inconsistent request handling between the public login endpoint and backend CGI routing;
- CVE-2026-111357 (CVSS 8.8) — privilege escalation;
- CVE-2026-118527 (CVSS 4.3) — file upload with a predictable filename.
The attackers first reached welcome.cgi, manipulated a routing header and landed in protected CGI scripts without logging in. The wu.cgi upload handler then wrote a file to disk before checking that it was a real ZIP. A Perl script stayed briefly accessible, and parallel requests executed it under the cgi-server account. A Python stage then targeted the privileged dsinvoked service, which trusted maintenance-task configuration in DSCache: temporarily swapping an in-memory library and redirecting a maintenance task produced root code execution. The payload afterwards restored the modified configuration and memory state.
What was taken
UTA0576 extracted appliance credentials and used an Active Directory service account to query Windows LAPS administrator passwords, BitLocker recovery keys, password-bearing attributes and account metadata. The toolkit included LDAP queries, Kerberos credential testing, password spraying, internal DNS reconnaissance, authentication-log inspection and packet-capture analysis. No web shell or persistent backdoor was deployed; commands travelled over repeated HTTPS requests. Some evidence was removed from Ivanti debug logs and Linux audit logs.
What to do
The fixes are 25.1.1.3 and 22.8R2.6. A clean integrity check proves little here: changes lived in memory and logs were scrubbed. Memory captures, disk images and core dumps matter, along with a review of service accounts and lateral movement.