Ivanti Connect Secure 三个零日漏洞被串联利用，其中一个仍无补丁

安全研究人员发现，一个此前未知的威胁组织 UTA0576 自 10 月 3 日起串联 Ivanti Connect Secure VPN 的三个零日漏洞，在完全打补丁的设备上实现未认证的 root 级代码执行。Volexity 最先发现该利用链，美国网络安全和基础设施安全局（CISA）已将其中 CVE-2026-104935 列入已知被利用漏洞（KEV）目录，并敦促各组织立即修补。

Ivanti 于 10 月 13 日开始向客户发出警报，但表示利用链中的第三个提权漏洞目前仍无修复方案。研究人员警告，攻击可能从针对性入侵迅速扩散为大规模利用。

事件经过

Volexity的研究人员最先发现这条利用链，并通过协调披露程序将发现报告给Ivanti。

Ivanti于10月13日开始向客户发出警报，此时距离该公司知悉整条利用链已过去近两周，距离其发现漏洞链的最初部分则已接近三个月。Ivanti在10月13日的安全公告中表示，公司最初是在产品安全项目中发现了该漏洞的一部分，并在7月发布的25.1.3.0版本中完成了修补，随后一直在努力将该修复向后移植到其余受支持版本，但在此期间攻击已经发生。

攻击者手法

Volexity指出，UTA0576在入侵过程中没有部署任何恶意软件或Web Shell，而是为执行的每一条命令重新利用该设备，并篡改日志以掩盖痕迹，从而规避了Ivanti的完整性检查工具。该机构利用其Volcano内存分析平台对受感染设备的内存进行分析，才还原出完整的利用链和攻击者的后渗透活动。

这些后渗透活动主要集中于凭据窃取、Active Directory侦察和数据外泄。Ivanti在公告中将CVE-2026-104935描述为“高危漏洞”，称成功利用该漏洞“可能允许远程未认证攻击者执行任意命令”，而利用链的第三阶段是一个提权漏洞。

受影响版本

CISA列出的受影响Ivanti Connect Secure设备版本包括：25.1.1.1及更早版本、25.1.2.2及更早版本，以及22.8R2.4及更早版本。

CISA同时敦促各组织“开展网络和内存取证，以识别利用痕迹”，这一建议与Volexity的警告相呼应：由于攻击者的命令在内存中执行，Ivanti的完整性检查工具可能无法检测到相关活动。

各方回应与风险

Ivanti在10月13日的安全公告中称，截至当时仅有数量有限的客户遭到利用。该公司已发布针对CVE-2026-104935的更新，但利用链中的第三个零日漏洞——一个提权漏洞——目前仍无修复方案。

watchTowr首席威胁情报专家Yordan Ganchev对Cybernews表示，Ivanti Connect Secure长期以来一直是攻击者的热门目标，包括勒索软件团伙在内。鉴于这一历史，他预计利用活动会“极快地从针对性攻击转向不加区分的大规模利用”。

要点

• UTA0576 自 10 月 3 日起利用该漏洞链
• 攻击者未部署恶意软件或 Web Shell
• CVE-2026-104935 已被列入 CISA 的 KEV 目录
• 第三个提权漏洞目前仍无补丁
• Ivanti 称仅有限数量客户遭到利用