- Volexity表示，首兩個漏洞是繞過驗證及遠程程式碼執行問題，合併追蹤為CVE-2026-104935。
- Volexity表示，第3個漏洞可將存取權限由cgi-server用戶提升至根權限。
- Ivanti按CVSS嚴重程度評分標準，將CVE-2026-104935評為8.6分（滿分10分）。
Ivanti Connect Secure VPN設備遭利用3個零日漏洞攻擊，可讓未經驗證的攻擊者以根權限執行指令。Volexity表示，在一名客戶一部運行22.8R2.4版本、已完全修補的設備上發現有關活動，攻擊於10月3日開始。
有關活動暴露儲存在設備上的網域憑證及有限的Active Directory元數據，攻擊者同時搜尋LAPS密碼及BitLocker復原金鑰。Volexity亦表示，攻擊者掃描網絡、收集配置資料，並解析驗證日誌以識別有效用戶名稱。
Ivanti表示，知悉有關利用活動影響有限數目的客戶；Volexity則表示，在攻擊者的最終目標明朗前，有關行動已被偵測及中斷。
本文目錄
CVE-2026-104935串連繞過驗證及執行程式碼
Volexity表示，首兩個漏洞可讓攻擊者以設備cgi-server用戶身份執行程式碼。另一個權限提升漏洞其後可將有關存取權限提升至根權限。
Ivanti發布4個已修補的Connect Secure版本
Ivanti表示，已為3個漏洞中的兩個推出修補程式，並在Connect Secure22.8R2.5、25.1.1.2、25.1.3.0及25.1.3.1版本修補漏洞。
Ivanti要求客戶升級，並定期執行其Integrity Checker Tool。該供應商亦警告，零日漏洞已在野外遭利用，並表示知悉有限度的利用活動。
Volexity評估UTA0576準備擴大入侵網絡
Volexity將UTA0576列為此前未有記錄的威脅行為者。該公司表示，攻擊者取得儲存在設備上的網域憑證，並竊取有限的Active Directory元數據。
Volexity中等信心評估，UTA0576利用大型語言模型開發漏洞及進行漏洞利用後活動。該公司低信心評估，動機是犯罪而非間諜活動。
Volexity沒有在設備上發現後門或網頁Shell。該公司高度有信心評估，有關活動指向為橫向移動及更大規模網絡入侵作準備，但表示行動在最終目標明朗前已結束。
防守方現在要做甚麼
- 升級，並定期執行Ivanti的Integrity Checker Tool。
常見問題
CVE-2026-104935是否正遭利用？
Ivanti表示，知悉野外有有限度的利用活動；Volexity則發現利用活動於10月3日開始的證據。
哪些Ivanti Connect Secure版本已修補？
Ivanti已在22.8R2.5、25.1.1.2、25.1.3.0及25.1.3.1版本修補漏洞。權限提升漏洞仍未修補。
攻擊者可透過漏洞取得哪些資料？
Volexity表示，攻擊者取得網域憑證及有限的Active Directory元數據，並搜尋LAPS密碼及BitLocker復原金鑰。
UTA0576是誰？
Volexity將UTA0576列為此前未有記錄的威脅行為者。該公司中等信心評估，該組織利用大型語言模型開發漏洞及進行漏洞利用後活動。
來源
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| Volexity表示，攻擊者串連Ivanti Connect Secure的3個零日漏洞，在未登入的情況下以根權限執行指令。 | Volexity, via The Hacker News | 引述 |
| Volexity在一名客戶一部運行22.8R2.4版本、已完全修補的設備上發現攻擊。 | Volexity, via The Hacker News | 引述 |
| 由Volexity追蹤為UTA0576的攻擊者於10月3日開始利用設備。 | Volexity, via The Hacker News | 引述 |
| Ivanti表示，知悉野外有有限度的利用活動。 | Ivanti, via The Hacker News | 引述 |
| Volexity表示，首兩個漏洞是繞過驗證及遠程程式碼執行漏洞，合併追蹤為CVE-2026-104935。 | Volexity, via The Hacker News | 引述 |
| Volexity表示，首兩個漏洞可讓攻擊者以設備cgi-server用戶身份執行程式碼，而第3個權限提升漏洞可將存取權限提升至根權限。 | Volexity, via The Hacker News | 引述 |
| Ivanti已為兩個漏洞推出修補程式，權限提升漏洞的修補程式仍待推出。 | Ivanti, via The Hacker News | 引述 |
| Ivanti已在Connect Secure22.8R2.5、25.1.1.2、25.1.3.0及25.1.3.1版本修補漏洞。 | Ivanti, via SecurityWeek | 引述 |
| 權限提升問題仍未修補，Ivanti計劃在未來數周修補。 | Ivanti, via SecurityWeek | 引述 |
| Volexity表示，攻擊者竊取儲存在設備上的網域憑證，並竊取有限的Active Directory元數據。 | Volexity, via SecurityWeek | 引述 |
| Volexity表示，攻擊者在Active Directory搜尋LAPS密碼及BitLocker復原金鑰。 | Volexity, via SecurityWeek | 引述 |
| Ivanti按CVSS嚴重程度評分標準，將CVE-2026-104935評為8.6分（滿分10分）。 | Ivanti, via The Hacker News | 引述 |
| Volexity表示，攻擊者發動密碼噴灑攻擊，並使用自訂Kerberos工具測試憑證。 | Volexity, via SecurityWeek | 引述 |
| Volexity沒有在設備上發現後門或網頁Shell。 | Volexity, via SecurityWeek | 引述 |
| Volexity表示，在攻擊者的最終目標明朗前，有關行動已被偵測及中斷。 | Volexity, via SecurityWeek | 引述 |
| Volexity高度有信心評估，攻擊者的行動指向為橫向移動及更大規模網絡入侵作準備。 | Volexity, via SecurityWeek | 引述 |
| Volexity中等信心評估，UTA0576利用大型語言模型開發漏洞及進行漏洞利用後活動。 | Volexity, via SecurityWeek | 引述 |
| Volexity低信心評估，UTA0576的動機是犯罪而非間諜活動。 | Volexity, via SecurityWeek | 引述 |
| Ivanti周二警告客戶，其Connect Secure VPN設備的一個零日漏洞已在野外遭利用。 | Ivanti, via SecurityWeek | 引述 |
| Ivanti表示，攻擊影響有限數目的客戶。 | Ivanti, via SecurityWeek | 引述 |
| Volexity在調查一名客戶的一宗事故時發現利用活動。 | Volexity, via SecurityWeek | 引述 |
| Volexity將UTA0576列為此前未有記錄的威脅行為者。 | Volexity, via SecurityWeek | 引述 |
| Volexity發現利用活動於10月3日開始的證據。 | Volexity, via SecurityWeek | 引述 |
| Volexity表示，攻擊者嘗試從截取的網絡流量提取憑證。 | Volexity, via SecurityWeek | 引述 |
| Volexity表示，攻擊者掃描網絡、收集設備配置資料，並解析驗證日誌以識別有效用戶名稱。 | Volexity, via SecurityWeek | 引述 |
未能核實
- 受攻擊客戶數目未有確定
- 第3個漏洞是否有臨時解決方法未有確定
- 升級是否會移除攻擊者已取得的存取權限未有確定
