在最近针对Ivanti vpn服务器的攻击中，攻击者结合了三种不同的漏洞，从而获得了对系统的完全控制。随后，他们试图窃取各种凭证，包括BitLocker恢复密钥。国家网络安全中心（NCSC）、美国网络安全和基础设施安全局（CISA）以及其他政府机构呼吁管理员和组织立即修补他们的Ivanti vpn服务器。
昨天，Ivanti发布了针对Ivanti Connect Secure中的一个漏洞（CVE-2026-104935）的安全更新。Ivanti Connect Secure，之前被称为Pulse Secure，是一种允许用户访问其组织网络的vpn解决方案。根据Ivanti的说法，通过CVE-2026-104935被黑的客户数量“有限”。然而，关于攻击的详细信息并未提供。
网络安全公司Volexity在10月5日发现了一次针对完全修补的Ivanti vpn服务器的零日攻击。在10月3日发生的攻击中，攻击者结合了身份验证绕过、远程代码执行（RCE）和特权提升漏洞，从而能够以root身份执行未经身份验证的代码。由此，攻击者获得了对vpn服务器的完全控制。身份验证绕过和RCE漏洞已获得CVE编号CVE-2026-104935。
根据Volexity对攻击的分析，从被黑的vpn服务器上，攻击者对后端网络发起了攻击。攻击者首先收集了被黑vpn服务器上的所有凭证，包括与LDAP一起使用的域凭证、标准HTTP身份验证凭证和NTLM哈希。这部分是通过拦截网络流量实现的。有限的Active Directory元数据也被窃取。
通过一个被攻破的Active Directory服务账户和一个自制的Python LDAP工具，攻击者在Active Directory中寻找LAPS本地管理员密码、BitLocker恢复密钥和“包含密码的属性”。Volexity不知道攻击背后是谁，但怀疑攻击者有犯罪动机，而不是出于间谍活动。
NCSC评估漏洞被利用的可能性和潜在损害为高。因此，组织被呼吁立即安装补丁。“一次成功的攻击可能会使恶意方控制受影响的系统。由于Connect Secure提供对组织环境的访问，后端系统和数据也面临风险。”美国网络安全和基础设施安全局（CISA）以及其他国家的政府机构也给出了相同的建议。
低垂的果实。使用Microsoft（AD），你总是离皇冠上的明珠（域控制器）只有一步之遥。即使是Microsoft多年来也建议不再使用Active Directory。希望组织们最终意识到，在2026年继续使用过时的东西并不明智。但如果他们还在使用Ivanti，我认为组织内部的根本性错误是无法修复的。为那些仍在运行Microsoft AD网络、Citrix Netscalers和Fortinet VPN客户端的组织干杯。愿他们完全崩溃，这样我们终于可以摆脱这些麻烦。