- CVE-2026-104935影響所列Ivanti Connect Secure版本。
- 威脅行為者利用零日漏洞，在無需驗證下遠程執行任意指令。
- CISA於2026年10月13日把該漏洞加入其已知遭利用漏洞目錄。
CISA於2026年10月13日表示，網絡威脅行為者正利用Ivanti Connect Secure設備中的零日驗證繞過漏洞。漏洞利用可在無需驗證下遠程執行任意指令。
CISA表示，CVE-2026-104935影響Ivanti Connect Secure 25.1.1.1及之前版本、25.1.2.2及之前版本，以及22.8R2.4及之前版本。CISA表示，威脅行為者正利用該漏洞進行憑證竊取和資料外洩。
Ivanti Connect Secure是一款VPN設備，Volexity發現其漏洞利用鏈可實現無需驗證的遠程程式碼執行。CISA於10月13日把CVE-2026-104935加入其已知遭利用漏洞目錄。
漏洞利用鏈可達無需驗證的根級程式碼執行
Volexity發現，UTA0576自2026年10月3日起反覆利用有關漏洞，入侵Ivanti Connect Secure設備並執行指令。該活動利用驗證繞過、遠程程式碼執行及權限提升，達到無需驗證的根級程式碼執行。
威脅行為者在漏洞利用鏈中透過HTTPS請求傳送指令及結果，而非使用獨立的命令及控制頻道。Volexity表示，未有在受入侵設備上發現後門或網頁Shell。
Volexity於2026年10月5日開始調查一名網絡安全監察客戶懷疑遭受的惡意活動。該公司表示，UTA0576刪除了Ivanti除錯及Linux審計日誌中的證據，因此需要進行鑑證分析以識別入侵。
Volexity表示，10月13日發布的修補程式修復了驗證繞過及遠程程式碼執行組件。Ivanti正處理權限提升漏洞的修復工作，並表示修復程式將納入未來數周內發布的版本。
CISA表示，完整性檢查工具可能無法偵測漏洞利用證據，因為威脅行為者的指令在記憶體中執行；機構如要確定是否遭入侵，將需要進行網絡及記憶體鑑證。
防守方現在要做甚麼
- 立即更新至最新版本，詳情見Ivanti的保安公告Ivanti Connect Secure(CVE-2026-104935)。
- 進行出廠重設，並把設備升級至最新版本。對於雲端及虛擬系統，重建虛擬實例並升級至最新版本。
- 重設所有帳戶的密碼，包括網域、管理員及本地帳戶。撤銷並重新簽發已儲存的憑證；重設已儲存的API金鑰及授權伺服器憑證。
- 進行網絡及記憶體鑑證，以識別漏洞利用證據。
常見問題
CVE-2026-104935發生了甚麼事？
CISA表示，網絡威脅行為者利用Ivanti Connect Secure的零日驗證繞過漏洞，在無需驗證下遠程執行任意指令。
哪些Ivanti Connect Secure版本受影響？
CISA列出25.1.1.1及之前版本、25.1.2.2及之前版本，以及22.8R2.4及之前版本受影響。
CVE-2026-104935是否遭利用？
是。CISA表示，網絡威脅行為者正利用該漏洞，並於2026年10月13日把它加入已知遭利用漏洞目錄。
機構如何修復CVE-2026-104935？
CISA促請機構立即把受影響部署更新至最新Ivanti版本。CISA建議把遭入侵設備恢復出廠設定並升級，或重建及升級雲端和虛擬系統。
Ivanti Connect Secure漏洞容許攻擊者做甚麼？
該漏洞容許在無需驗證下遠程執行任意指令，而Volexity發現的漏洞利用鏈則達到無需驗證的根級程式碼執行。
來源
- CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure | CISA, CISA原始文件
- A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, Volexity原始文件
- CISA warns of new Ivanti bug being exploited as latest Patch Tuesday breaks records, The Record
- CISA warns admins to immediately fix Ivanti flaw exploited as zero-day, BleepingComputer
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| CISA表示，CVE-2026-104935影響Ivanti Connect Secure 25.1.1.1及之前版本、25.1.2.2及之前版本，以及22.8R2.4及之前版本。 | CISA | 已證實 |
| CISA表示，網絡威脅行為者正利用零日驗證繞過漏洞，在無需驗證下遠程執行任意指令。 | CISA | 已證實 |
| Volexity發現，Ivanti Connect Secure VPN設備遭人在野外積極利用一條可在無需驗證下遠程執行程式碼的漏洞鏈。 | Volexity | 已證實 |
| CISA於2026年10月13日把CVE-2026-104935加入其已知遭利用漏洞目錄。 | CISA | 已證實 |
| BleepingComputer報道，該漏洞至少自10月1日起已在零日攻擊中遭利用。 | BleepingComputer | 引述 |
| Volexity發現，一名身份不明的威脅行為者UTA0576於2026年10月首周利用該漏洞鏈。 | Volexity | 已證實 |
| Volexity表示，該漏洞利用鏈結合驗證繞過、遠程程式碼執行及權限提升，以達到無需驗證的根級程式碼執行。 | Volexity | 已證實 |
| Volexity於2026年10月5日開始調查一名網絡安全監察客戶懷疑遭受的惡意活動。 | Volexity | 已證實 |
| Volexity表示，UTA0576自2026年10月3日起反覆利用有關漏洞，入侵設備並執行指令。 | Volexity | 已證實 |
| Volexity表示，UTA0576利用漏洞頻道傳送指令，沒有部署後門或網頁Shell。 | Volexity | 已證實 |
| Volexity表示，UTA0576刪除了Ivanti除錯及Linux審計日誌中的證據，需要進行鑑證分析以發現入侵。 | Volexity | 已證實 |
| Volexity表示，驗證繞過及遠程程式碼執行漏洞的追蹤編號為CVE-2026-104935。 | Volexity | 已證實 |
| Volexity表示，Ivanti在2026年10月13日發布的修補程式中修復了驗證繞過及遠程程式碼執行漏洞。 | Volexity | 已證實 |
| 據Volexity表示，Ivanti仍在處理權限提升漏洞的修復工作。 | Volexity | 已證實 |
| CISA表示，完整性檢查工具可能無法偵測漏洞利用證據，因為威脅行為者的指令在記憶體中執行。 | CISA | 已證實 |
| The Record表示，Ivanti正與少數透過該漏洞遭入侵的客戶合作。 | Ivanti, via The Record | 引述 |
| CISA於2026年10月13日發布報告。 | CISA | 已證實 |
| volexity.com於2026年10月13日發布報告。 | volexity.com | 已證實 |
未能核實
- 有多少機構遭入侵尚未確定
- 權限提升漏洞是否獲分配獨立CVE編號尚未確定
