- Volexity表示，前两个漏洞分别是身份验证绕过和远程代码执行问题，跟踪编号为CVE-2026-104935。
- Volexity表示，第3个漏洞可将访问权限从cgi-server用户提升至root。
- Ivanti将CVE-2026-104935的CVSS严重性评分定为8.6分（满分10分）。
Ivanti Connect Secure VPN设备遭到利用3个零日漏洞的攻击，未经身份验证的攻击者可能借此以root身份运行命令。Volexity表示，它在一名客户运行22.8R2.4版本、已完全打补丁的设备上发现了相关活动，利用始于10月3日。
此次活动暴露了存储在设备上的域凭据和有限的Active Directory元数据，同时攻击者搜索了LAPS密码和BitLocker恢复密钥。Volexity还表示，攻击者扫描了网络，收集了配置数据，并解析身份验证日志以识别有效用户名。
Ivanti表示，已知有关利用活动影响了数量有限的客户；Volexity表示，在攻击者的最终目标明确之前，该行动已被发现并中断。
本文目录
CVE-2026-104935串联身份验证绕过和代码执行
Volexity表示，前两个漏洞可让攻击者以设备cgi-server用户身份运行代码。随后，另一个提权漏洞可将该访问权限提升至root。
Ivanti发布4个含补丁的Connect Secure版本
Ivanti表示，它已为3个漏洞中的2个发布修复程序，并在Connect Secure22.8R2.5、25.1.1.2、25.1.3.0和25.1.3.1版本中修复了这些漏洞。
Ivanti建议客户升级，并定期运行其Integrity Checker Tool。该厂商还警告称，这个零日漏洞已在野外遭到利用，并表示已知存在有限的利用活动。
Volexity评估UTA0576准备扩大入侵网络
Volexity将UTA0576跟踪为一个此前未有记录的威胁行为者。它表示，攻击者获取了存储在设备上的域凭据，并外泄了有限的Active Directory元数据。
Volexity中等信心评估认为，UTA0576使用大语言模型进行漏洞利用开发和利用后活动。它低信心评估认为，动机是犯罪而非间谍活动。
Volexity未在设备上发现后门或WebShell。它高度确信，相关活动指向为横向移动和更大范围网络入侵进行准备，但表示该行动在最终目标明确之前就已结束。
防守方现在要做什么
- 升级，并定期运行Ivanti的Integrity Checker Tool。
常见问题
CVE-2026-104935正在遭到利用吗？
Ivanti表示，已知野外存在有限的利用活动；Volexity发现了利用活动于10月3日开始的证据。
哪些Ivanti Connect Secure版本已打补丁？
Ivanti已在22.8R2.5、25.1.1.2、25.1.3.0和25.1.3.1版本中修复这些漏洞。提权漏洞仍未修复。
攻击者可以通过这些漏洞访问什么？
Volexity表示，攻击者获取了域凭据和有限的Active Directory元数据，并搜索了LAPS密码和BitLocker恢复密钥。
UTA0576是谁？
Volexity将UTA0576跟踪为一个此前未有记录的威胁行为者。它中等信心评估认为，该组织使用大语言模型进行漏洞利用开发和利用后活动。
来源
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| Volexity表示，攻击者串联利用Ivanti Connect Secure中的3个零日漏洞，无需登录即可运行root命令。 | Volexity, via The Hacker News | 引述 |
| Volexity在一名客户运行22.8R2.4版本、已完全打补丁的设备上发现了攻击。 | Volexity, via The Hacker News | 引述 |
| 由Volexity跟踪为UTA0576的攻击者于10月3日开始利用该设备。 | Volexity, via The Hacker News | 引述 |
| Ivanti表示，已知野外存在有限的利用活动。 | Ivanti, via The Hacker News | 引述 |
| Volexity表示，前两个漏洞是身份验证绕过和远程代码执行漏洞，合并跟踪编号为CVE-2026-104935。 | Volexity, via The Hacker News | 引述 |
| Volexity表示，前两个漏洞可让攻击者以设备cgi-server用户身份运行代码，而第3个提权漏洞可将访问权限提升至root。 | Volexity, via The Hacker News | 引述 |
| Ivanti已为两个漏洞发布修复程序，提权漏洞的修复程序仍在等待发布。 | Ivanti, via The Hacker News | 引述 |
| Ivanti已在Connect Secure22.8R2.5、25.1.1.2、25.1.3.0和25.1.3.1版本中修复这些漏洞。 | Ivanti, via SecurityWeek | 引述 |
| 提权问题仍未修复，Ivanti计划在未来几周内修复。 | Ivanti, via SecurityWeek | 引述 |
| Volexity表示，攻击者窃取了存储在设备上的域凭据，并外泄了有限的Active Directory元数据。 | Volexity, via SecurityWeek | 引述 |
| Volexity表示，攻击者在Active Directory中搜索了LAPS密码和BitLocker恢复密钥。 | Volexity, via SecurityWeek | 引述 |
| Ivanti将CVE-2026-104935的CVSS严重性评分定为8.6分（满分10分）。 | Ivanti, via The Hacker News | 引述 |
| Volexity表示，攻击者发动了密码喷洒攻击，并使用定制Kerberos工具测试凭据。 | Volexity, via SecurityWeek | 引述 |
| Volexity未在设备上发现后门或WebShell。 | Volexity, via SecurityWeek | 引述 |
| Volexity表示，在攻击者的最终目标明确之前，该行动已被发现并中断。 | Volexity, via SecurityWeek | 引述 |
| Volexity高度确信，攻击者的行为指向为横向移动和更大范围网络入侵进行准备。 | Volexity, via SecurityWeek | 引述 |
| Volexity中等信心评估认为，UTA0576使用大语言模型进行漏洞利用开发和利用后活动。 | Volexity, via SecurityWeek | 引述 |
| Volexity低信心评估认为，UTA0576的动机是犯罪而非间谍活动。 | Volexity, via SecurityWeek | 引述 |
| Ivanti周二警告客户，其Connect Secure VPN设备中的零日漏洞已在野外遭到利用。 | Ivanti, via SecurityWeek | 引述 |
| Ivanti表示，利用影响了数量有限的客户。 | Ivanti, via SecurityWeek | 引述 |
| Volexity在调查一名客户的一起事件时发现了利用活动。 | Volexity, via SecurityWeek | 引述 |
| Volexity将UTA0576跟踪为一个此前未有记录的威胁行为者。 | Volexity, via SecurityWeek | 引述 |
| Volexity发现了利用活动于10月3日开始的证据。 | Volexity, via SecurityWeek | 引述 |
| Volexity表示，攻击者试图从捕获的网络流量中提取凭据。 | Volexity, via SecurityWeek | 引述 |
| Volexity表示，攻击者扫描了网络，收集了设备配置数据，并解析身份验证日志以识别有效用户名。 | Volexity, via SecurityWeek | 引述 |
未能核实
- 遭到攻击的客户数量尚未确定
- 第3个漏洞是否存在临时缓解措施尚未确定
- 升级是否会移除攻击者已经获得的访问权限尚未确定
