- CVE-2026-104935影响所列Ivanti Connect Secure版本。
- 威胁行为者利用该零日漏洞，在无需身份验证的情况下远程执行任意命令。
- CISA于2026年10月13日将该漏洞加入其已知被利用漏洞目录。
CISA于2026年10月13日表示，网络威胁行为者正在利用Ivanti Connect Secure设备中的零日身份验证绕过漏洞。该利用活动允许远程、无需身份验证地执行任意命令。
CISA表示，CVE-2026-104935影响Ivanti Connect Secure 25.1.1.1及更早版本、25.1.2.2及更早版本，以及22.8R2.4及更早版本。CISA表示，威胁行为者正利用该漏洞进行凭据窃取和数据外泄。
Ivanti Connect Secure是一款VPN设备，目标利用链由Volexity发现，该利用链可实现无需身份验证的远程代码执行。CISA于10月13日将CVE-2026-104935加入其已知被利用漏洞目录。
利用链实现了无需身份验证的根级代码执行
Volexity发现，UTA0576自2026年10月3日起反复利用这些漏洞，入侵Ivanti Connect Secure设备并运行命令。该活动利用身份验证绕过、远程代码执行和权限提升，实现了无需身份验证的根级代码执行。
威胁行为者通过利用链中的HTTPS请求传递命令和结果，而不是使用单独的命令与控制通道。Volexity表示，未在受入侵设备上发现后门或WebShell。
Volexity于2026年10月5日开始调查一名网络安全监测客户处疑似恶意活动。该公司表示，UTA0576删除了Ivanti调试日志和Linux审计日志中的证据，因此需要进行取证分析来识别入侵。
Volexity表示，10月13日发布的补丁修复了身份验证绕过和远程代码执行组件。Ivanti正在修复权限提升漏洞，并表示该修复将包含在未来几周发布的版本中。
CISA表示，由于威胁行为者的命令在内存中执行，完整性检查工具可能无法检测利用证据；组织若要确定自己是否遭到入侵，需要进行网络和内存取证。
防守方现在要做什么
- 立即更新到最新版本，具体操作参见Ivanti的安全公告Ivanti Connect Secure(CVE-2026-104935)。
- 执行出厂重置，并将设备升级到最新版本。对于云和虚拟系统，重建虚拟实例并升级到最新版本。
- 重置所有账户的密码，包括域账户、管理员账户和本地账户。撤销并重新签发存储的证书；重置存储的API密钥和许可证服务器凭据。
- 进行网络和内存取证，以识别利用证据。
常见问题
CVE-2026-104935发生了什么？
CISA表示，网络威胁行为者利用Ivanti Connect Secure中的零日身份验证绕过漏洞，在无需身份验证的情况下远程执行任意命令。
哪些Ivanti Connect Secure版本受到影响？
CISA列出的受影响版本包括25.1.1.1及更早版本、25.1.2.2及更早版本，以及22.8R2.4及更早版本。
CVE-2026-104935是否已遭到利用？
是。CISA表示，网络威胁行为者正在利用该漏洞，并于2026年10月13日将其加入已知被利用漏洞目录。
组织如何修复CVE-2026-104935？
CISA敦促组织立即将受影响的部署更新到最新Ivanti版本。CISA建议对遭到入侵的设备执行出厂重置并升级，或重建并升级云和虚拟系统。
Ivanti Connect Secure利用活动允许攻击者做什么？
该漏洞允许远程、无需身份验证地执行任意命令，而Volexity发现的利用链实现了无需身份验证的根级代码执行。
来源
- CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure | CISA, CISA原始文件
- A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, Volexity原始文件
- CISA warns of new Ivanti bug being exploited as latest Patch Tuesday breaks records, The Record
- CISA warns admins to immediately fix Ivanti flaw exploited as zero-day, BleepingComputer
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| CISA表示，CVE-2026-104935影响Ivanti Connect Secure 25.1.1.1及更早版本、25.1.2.2及更早版本，以及22.8R2.4及更早版本。 | CISA | 已证实 |
| CISA表示，网络威胁行为者正在利用零日身份验证绕过漏洞，在无需身份验证的情况下远程执行任意命令。 | CISA | 已证实 |
| Volexity发现，Ivanti Connect Secure VPN设备存在一条正在被实际利用的漏洞链，可实现无需身份验证的远程代码执行。 | Volexity | 已证实 |
| CISA于2026年10月13日将CVE-2026-104935加入其已知被利用漏洞目录。 | CISA | 已证实 |
| BleepingComputer报道，该漏洞至少自10月1日起已在零日攻击中遭到利用。 | BleepingComputer | 引述 |
| Volexity发现，一名未知威胁行为者UTA0576在2026年10月第一周滥用该利用链。 | Volexity | 已证实 |
| Volexity表示，该利用链结合身份验证绕过、远程代码执行和权限提升，实现了无需身份验证的根级代码执行。 | Volexity | 已证实 |
| Volexity于2026年10月5日开始调查一名网络安全监测客户处疑似恶意活动。 | Volexity | 已证实 |
| Volexity表示，UTA0576自2026年10月3日起反复利用这些漏洞，入侵设备并运行命令。 | Volexity | 已证实 |
| Volexity表示，UTA0576使用利用通道传递命令，且未部署后门或WebShell。 | Volexity | 已证实 |
| Volexity表示，UTA0576删除了Ivanti调试日志和Linux审计日志中的证据，需要进行取证分析才能发现入侵。 | Volexity | 已证实 |
| Volexity表示，身份验证绕过和远程代码执行漏洞的跟踪编号为CVE-2026-104935。 | Volexity | 已证实 |
| Volexity表示，Ivanti在2026年10月13日发布的补丁中修复了身份验证绕过和远程代码执行漏洞。 | Volexity | 已证实 |
| 据Volexity称，Ivanti仍在修复权限提升漏洞。 | Volexity | 已证实 |
| CISA表示，由于威胁行为者的命令在内存中执行，完整性检查工具可能无法检测利用证据。 | CISA | 已证实 |
| The Record表示，Ivanti正在与少数通过该漏洞遭到利用的客户合作。 | Ivanti, via The Record | 引述 |
| CISA于2026年10月13日发布其报告。 | CISA | 已证实 |
| volexity.com于2026年10月13日发布其报告。 | volexity.com | 已证实 |
未能核实
- 有多少组织遭到入侵尚未确定
- 权限提升漏洞是否已被分配单独的CVE尚未确定
