CVE-2026-118527: уязвимость Ivanti, которую не объясняет даже собственный каталог CISA

CISA добавляет в ту же цепочку ещё два CVE и не до конца объясняет один из них

Принято считать, что появление записи в каталоге KEV — это момент, когда уязвимость наконец получает объяснение. Собственная запись CISA для CVE-2026-118527 делает прямо противоположное. Она утверждает, что баг существует, что он сцепляется с двумя другими CVE на том же устройстве, и останавливается задолго до того, как сказать, что это на самом деле такое. [4]

Через две недели после моей статьи о CVE-2026-104935 — цепочке от welcome.cgi до root, которую Volexity восстановила на полностью пропатченном устройстве Ivanti Connect Secure, — CISA добавила в каталог известных эксплуатируемых уязвимостей ещё два номера CVE для той же цепочки, оба 30 октября 2026 года: CVE-2026-111357 и CVE-2026-118527. [3][4] Один из них закрывает незавершённую линию из первой статьи. Другой открывает новую.

CVE-2026-111357 — простая половина: наконец имя для механизма, который я уже разобрал

Первая статья описывала этап повышения привилегий без номера CVE и без патча: атакующий, уже получивший выполнение кода от имени непривилегированного пользователя cgi-server, мог переназначить dsinvoked, собственный процесс выполнения задач ICS с правами root, патча ин-мемори копию общей библиотеки. Теперь у этого этапа есть и то, и другое. Ivanti выпустила исправление 29 октября 2026 года, и обновление в материале Volexity называет его CVE-2026-111357. Описание NVD независимо совпадает с механизмом: брокер dsinvoked доверяет данным конфигурации DSCache, что приводит к повышению привилегий до root. [1][2]

Собственный флаг криминалистической проверки CISA показывает, как она относится к каждому CVE в этой цепочке. Обязательна по Директиве 26-04 для CVE-2026-104935 и CVE-2026-111357. Не обязательна для CVE-2026-118527. [5][3][4] Сделайте свой вывод о том, насколько решённым CISA считает третий номер.

// KEV catalog entries for this chain, read directly from CISA's own catalog pages.

CVE-2026-104935   added 2026-10-13   due 2026-10-16   forensic triage: required
CVE-2026-111357   added 2026-10-30   due 2026-11-02   forensic triage: required   (Ivanti's patch shipped 2026-10-29)
CVE-2026-118527   added 2026-10-30   due 2026-11-13   forensic triage: not required

// Same chain, three different clocks, and CISA treating the third CVE
// differently from the other two without saying why in the catalog entry itself.

CVE-2026-118527 не совпадает ни с чем, что когда-либо описывала Volexity

Короткое описание CISA для CVE-2026-118527 читается как упрощённая версия бага из первой статьи: удалённый аутентифицированный атакующий может загрузить файлы с контролируемым содержимым в известное место на диске. [4] Это близко к тому, как уже ведёт себя гонка wu.cgi «записать до проверки», записывающая загруженный файл по предсказуемому, выведенному из MD5 пути до проверки содержимого. Близко, но не идентично. Материал Volexity, и исходный, и обновлённый, ни разу не упоминает CVE-2026-118527. [1] А CISA говорит, что здесь нужен аутентифицированный атакующий. Гонка wu.cgi достигается неаутентифицированно, через трюк с заголовком welcome.cgi, который открывает всю эту цепочку.

Я не знаю, что из двух верно: что CVE-2026-118527 — это новый номер для бага, уже покрытого CVE-2026-104935, или что это действительно отдельная проблема предсказуемого пути, которую пока никто не описал публично. Собственный бюллетень Ivanti, который мог бы решить это одним предложением, не загрузился у меня за два независимых исследовательских заезда, проведённых разными людьми и упёршихся в одну и ту же стену разными путями. Это устойчивое препятствие, а не «попробуй позже». Пока это не изменится, или пока Ivanti не опубликует бюллетень где-то ещё, вопрос остаётся открытым. Я лучше скажу это прямо, чем угадаю и ошибусь в любую сторону.

Одно издание сообщает о трёхэтапном порядке, который не подтверждает собственный материал Volexity

Есть и вторая незакрытая нить. Один агрегатор, освещавший добавления в KEV 30 октября, описывает конкретный порядок цепочки: неаутентифицированный RCE (CVE-2026-104935), затем аутентифицированная «закладка файла» (CVE-2026-118527), затем повышение привилегий (CVE-2026-111357), как будто новый CVE — это осознанный промежуточный шаг. Собственный материал Volexity работает иначе. Он идёт прямо от RCE через wu.cgi к повышению привилегий через dsinvoked, без отдельного этапа закладки файла между ними. [6][1]

Либо у этого издания есть детали из бюллетеня Ivanti, которых не было в материале Volexity, либо оно просто неправо, и отсюда я не могу сказать, что именно. Я не собираюсь сглаживать это противоречие, выбирая версию, которая звучит лучше. Та же статья приводит два разных значения CVSS для CVE-2026-111357 в собственном тексте — 7.0 в одном месте и 8.8 в другом, а также 4.3 для CVE-2026-118527, хотя её же сравнительная таблица для того же CVE отдельно указывает «ожидает анализа». [6] Любое число для этих двух CVE, кроме собственных 7.0 от NVD для CVE-2026-111357, считайте неподтверждённым, потому что сейчас это так. [2]

Что реально меняется для вас — с ответом на оба вопроса или без него

В любом случае патчите. Первый раунд исправлений для CVE-2026-104935 уже закрыл этапы welcome.cgi и wu.cgi; точные сборки я привёл в первой статье, и этот список не изменился. Этап dsinvoked/DSCache требует отдельного обновления, теперь отслеживаемого как CVE-2026-111357, которое Ivanti выпустила 29 октября 2026 года. Федеральный срок для него был 2 ноября 2026 года — сегодня, в момент, когда я это пишу. [1][3] Срок для CVE-2026-118527 — до 13 ноября 2026 года, и собственный флаг криминалистической проверки CISA отмечает его как «не обязателен» по Директиве 26-04, в отличие от двух других. [3][4][5]

Не позволяйте нерешённому вопросу о природе бага убедить вас подождать. Окажется ли CVE-2026-118527 новым багом или переименованным старым, путь исправления один и тот же: актуальные сборки, актуальные бюллетени, и не закрывайте инцидент на основании чистого прогона Integrity Checker Tool. Это ограничение из первой статьи никуда не исчезло.

// What this update actually settles, and what it doesn't.

SETTLED
  - CVE-2026-111357 is the dsinvoked / DSCache privilege escalation
    described in the original piece. Ivanti patched it on 2026-10-29.
  - CISA added both new CVEs to the KEV catalog on 2026-10-30.

NOT SETTLED
  - Whether CVE-2026-118527 is a new bug, or an existing one (the wu.cgi
    predictable-path upload) given its own CVE number.
  - Which chain order is correct: Volexity's (RCE straight to privilege
    escalation) or the three-stage order one outlet reported, with
    CVE-2026-118527 as a separate step in between.
  - Any CVSS score for CVE-2026-118527. NVD has no record for it as of
    this writing.

Нерешённая запись в KEV — не та незавершённость, которую можно игнорировать

Честная версия этого обновления короче, чем шум вокруг него: один новый номер CVE закрыл пробел, на который я указал две недели назад, а другой новый номер CVE открыл вопрос, на который собственный каталог CISA не отвечает. Оба утверждения верны одновременно, и одно не отменяет другое.

Это именно тот тип пробела, который я ищу, проверяя патч для клиента: не закрыт ли CVE из тикета, а закрыт ли на самом деле каждый механизм, который кому-либо приписали этой цепочке, включая те, что пока никто полностью не описал. Если у вас есть устройство Ivanti Connect Secure и вы хотите, чтобы кто-то проверил это против того, что реально работает у вас, это именно та работа, которую я делаю.