安全公司Volexity在10月13日表示，攻击者利用了Ivanti Connect Secure（一个VPN设备）中的三处零日漏洞，能够在不登录的情况下以root身份运行命令。Ivanti已发布了两个漏洞的修复程序，并告知受影响版本的客户“立即采取行动”。根据Volexity的说法，第三个漏洞的修复仍在待定中。
Volexity向Ivanti报告了这些漏洞，并在一位客户的设备上发现了攻击。该设备在当时已完全修补，并运行版本22.8R2.4。Volexity追踪的攻击者标识为UTA0576，开始于10月3日利用该漏洞。
Ivanti在10月13日表示，已意识到“在野外的有限利用”。
前两个漏洞是身份验证绕过和远程代码执行漏洞，合并跟踪为CVE-2026-104935。它们使攻击者能够以设备的cgi-server用户身份运行代码，而第三个漏洞则是特权提升，将权限提升至root，Volexity表示。
Ivanti提交的CVE记录显示了哪些Connect Secure版本受到影响：
受影响：Connect Secure “在版本25.1.3.0之前”
不受影响：版本22.7R2.14 “或更早”
列为不受影响：版本22.8R2.5、25.1.3.0和25.1.3.1
Ivanti的安全公告中有更多关于受影响版本和修复的信息。
25.1.3.0的发布说明日期为2026年7月。已经使用该版本的客户不在CVE记录所给出的范围内。
Volexity表示，Ivanti正在修复特权提升漏洞，修复将“在未来几周的更新中发布”。其报告没有说明该漏洞在前两个漏洞已修复的设备上带来的风险。
Ivanti建议客户升级，并定期运行其完整性检查工具。Volexity表示，该工具未能发现此链，因为该漏洞仅在内存中更改库代码，并恢复其所更改的配置数据。攻击者还采取措施使该工具无法检测到。
根据Volexity的说法，确认是否被攻破需要进行取证调查，包括网络和内存取证。这些迹象来自其调查的一个事件：
URL路径：/dana-na/auth/url_default/welcome.cgi，请求数量庞大
HTTP头：在这些请求中，X-DSCGI-PATH的值与URL路径不匹配
目录：/data/.icscap/
IP：108.165.147[.]64，攻击者使用的主机
在该事件中，攻击者窃取了存储的凭据，包括LDAP域凭据，搜索Active Directory中的密码，并对其账户进行了密码喷洒攻击。没有留下后门或Web Shell。攻击者为每个命令重新执行了整个利用链。
Volexity的报告和Ivanti的公告没有为尚未升级的客户提供临时解决方法。它们也没有说明升级是否会移除攻击者已经获得的访问权限。
Volexity以低信心评估UTA0576的动机是犯罪，而非间谍活动。两家公司均未透露有多少客户受到攻击。
Ivanti在CVSS严重性评分中将CVE-2026-104935评为8.6分。在其CVE记录中的条目中，美国网络安全和基础设施安全局（CISA）将利用标记为“活跃”，技术影响标记为“完全”。
另外，Ivanti的同一公告还涵盖了另外两个产品的修复，分别是Xtraction和Neurons Patch for Intune，Ivanti表示尚未发现这些漏洞被利用。每个产品都有一个Ivanti评为9.9分的漏洞：在版本2026.4之前的Xtraction中的CVE-2026-106042，以及在Neurons Patch for Intune中的CVE-2026-109412。
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，以阅读更多我们发布的独家内容。