美国网络安全和基础设施安全局（CISA）周二敦促组织采取措施，立即将其Ivanti Connect Secure（ICS）设备和部署更新到最新版本，此次更新是由于披露了一个正在被积极利用的漏洞。
该安全缺陷被追踪为CVE-2026-104935（CVSS评分：8.6），属于身份验证绕过案例，影响ICS版本25.1.1.1及之前版本、25.1.2.2及之前版本和22.8R2.4及之前版本，可能允许远程未授权攻击者执行任意命令。
“CISA了解到，网络威胁行为者正在利用这个零日身份验证绕过漏洞，该漏洞允许远程未授权执行任意命令，以进行凭证盗窃和数据外泄，”该机构表示。
该机构随后将该缺陷添加到其已知被利用漏洞（KEV）目录中，要求联邦平民执行机构（FCEB）在2026年10月16日之前应用修复。
CISA还建议受影响的ICS部署的客户查看Ivanti的Connect Secure升级和迁移兼容性指南以获取补丁指导，并警告版本22.8将在2027年1月31日达到生命周期结束。
“希望确定是否被攻破的组织需要进行网络和内存取证，以识别利用证据，”它补充道。
如果检测到妥协，CISA建议组织实施以下措施 -
创建设备配置的备份。
进行出厂重置并将设备升级到最新版本。
对于云和虚拟系统，重建虚拟实例并升级到最新版本。
从第1步创建的备份中恢复设备配置。
重置所有账户的密码，包括域、管理员和本地账户。撤销并重新签发存储的证书；重置存储的API密钥和许可证服务器凭证。
此事的发展是因为Previdian披露，截至2026年10月14日，它观察到了105次针对其蜜罐传感器的攻击尝试。这些攻击尝试来自50个唯一的IP地址，地理位置位于新加坡和美国。以下是一些观察到的IP地址 -
216.73.160[.]59
216.73.160[.]61
216.73.160[.]210
45.8.19[.]111
根据Previdian创始人兼首席执行官Ryan Dewhurst的说法，威胁行为者正在使用X-DSCGI-PATH头访问内部CGI处理程序，并上传伪装成ZIP文件的Perl脚本。这些脚本返回唯一标记，以确定远程代码执行是否成功。
“我们看到协调一致的尝试来利用这个Ivanti漏洞，但到目前为止捕获的有效载荷主要是在测试代码执行，而不是部署恶意软件或妥协设备，”Dewhurst告诉《黑客新闻》。 “然而，全面的武器化利用可能会在接下来的几个小时和几天内跟进。”
在另一份报告中，Volexity表示，它首次观察到CVE-2026-104935的利用发生在2026年10月3日，一个名为UTA0576的先前未记录的威胁行为者利用它与特权提升漏洞结合，实现未经授权的根级代码执行。UTA0576被评估为出于犯罪动机，而非间谍活动。
在成功利用后，威胁行为者据称进行了广泛的后利用行动，包括提取存储在ICS VPN设备上的凭证、外泄有限的Active Directory元数据、部署能够进行Kerberoast攻击和凭证测试的Kerberos工具、进行主机侦察、LDAP数据包捕获，并投放一个Python LDAP工具以搜索管理员密码和BitLocker恢复密钥。
“恢复的有效载荷展示了通过选择性日志修改、删除临时执行工件和恢复更改的系统状态来隐瞒恶意活动的故意努力，”Volexity研究人员Charlie Gardner、Sean Koessel和Steven Adair表示。
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，以阅读更多我们发布的独家内容。