Rob Wright, 高级新闻总监, Dark Reading
2026年10月14日
来源: Florencio Horcajo Alvarez via Getty Images
即使技术供应商在威胁行为者之前发现漏洞，他们仍然可能成为零日攻击的受害者。这就是 Ivanti 本周所面临的不幸局面，攻击者利用了 Ivanti Connect Secure (ICS) 产品中的两个零日漏洞：一个高严重性的身份验证绕过漏洞，以及在 SSL-VPN 和远程访问网关中进行未经身份验证的远程代码执行 (RCE) 的后续能力。网络安全供应商昨天将这两个缺陷统称为 CVE-2026-104935。
“我们知道在披露时，野外存在对有限数量客户的利用，”Ivanti 在其公告中表示。
但情况比典型的零日场景更复杂。根据公告，Ivanti 实际上在七月份通过供应商的产品安全计划“发现了这一漏洞的一部分”，并在 ICS 版本 25.1.3.0 发布时进行了修补。“当利用发生时，我们一直在努力将修复程序回移植到其余受支持版本中，”Ivanti 说。
相关：零日漏洞潜伏在微软过度增长的十月补丁星期二
Volexity 研究人员发现，跟踪为 UTA0576 的威胁行为者本月早些时候使用了一个包含 CVE-2026-104935 的零日利用链。该链妥协了当时已完全修补的 ICS 设备。
目前尚不清楚 Ivanti 在夏季发现了 CVE-2026-104935 的哪一部分，但 Ivanti 的发言人确认该发现是通过 Ivanti 的 LLM 项目进行的，该项目使用多个前沿和开源 AI 模型来发现并自动修复公司产品中的漏洞。但尽管 AI 模型帮助 Ivanti 在 CVE-2026-104935 上取得了先机，威胁行为者似乎能够更快采取行动。
多个零日漏洞被利用针对 Ivanti ICS 实例
Volexity 研究人员在 10 月 5 日首次检测到恶意活动，当时他们正在调查“一个网络安全监控客户”的事件，博客文章于周二发布。法医调查显示，ICS 设备是 10 月 3 日开始的攻击的根本原因，而 UTA0576 使用了一个零日利用链来妥协该设备。“这个利用链结合了身份验证绕过、远程代码执行 (RCE) 和特权提升漏洞，以实现未经身份验证的根级代码执行，”Volexity 研究人员写道。“RCE 和身份验证绕过漏洞被追踪为 CVE-2026-104935。”
特权提升缺陷尚未披露。Volexity 表示，Ivanti 目前正在为该漏洞开发修复程序，并将在未来的更新中进行修补。
相关：SonicWall SMA 设备中的最大严重性 SSRF 缺陷受到攻击
UTA0576 行为者从 ICS 设备中提取凭据，然后进行各种后妥协活动，从访问组织的 Active Directory 到从 Ivanti 调试日志中删除利用证据。Volexity 研究人员表示，由于攻击被检测并中断，因此尚不清楚 UTA0576 的最终目标是什么。
根据 Rapid7 漏洞情报总监 Douglas McKee 的说法，今天供应商面临的挑战不仅是要在攻击者之前发现漏洞，还要在漏洞被利用之前完全解决它们。“发现漏洞只是工作的一部分，”他告诉 Dark Reading。“Ivanti 发现了这一部分，在七月份的最新版本中修复了它，然后不得不将相同的修复程序回移植到仍在现场运行的所有旧支持版本中。这个回移植窗口正是问题出现的地方，因为修复程序存在，但在攻击者出现时尚未到达所有需要到达的地方。”
McKee 强调，对一个版本的安静修复可能是对攻击者的响亮信号。“攻击者密切关注供应商的更改，而在受支持版本之间未修补的差距是一个开放的邀请，去寻找补丁尚未到达的地方的相同问题，”他说。
相关：Anthropic 给经过审查的防御者提供更少的 Claude 保护措施
McKee 表示，供应商在发现自身漏洞方面正在改善，这是一个积极的发展。但他强调，利用时钟在任何修复程序发布的那一刻就开始。“缩短‘我们有修复程序’和‘每个客户都有修复程序’之间的距离是许多风险实际存在的地方，公平地说，这是我们一直面临的一个非常困难的挑战，”他说。
CVE-2026-104935：风险与缓解
网络安全和基础设施安全局 (CISA) 于周二将 CVE-2026-104935 添加到其已知利用漏洞 (KEV) 目录中，并给联邦民用机构设定了截至 10 月 16 日的缓解该缺陷的期限，方法是更新到修复版本或禁用设备。
虽然 CVE-2026-104935 仅获得了 8.6 的高严重性 CVSS 分数，但 McKee 表示，该缺陷极其严重，应由安全团队优先处理。“这个数字无法告诉你的是，这已经在野外作为零日被利用，它存在于一个面向互联网的 VPN 设备上，攻击者正在将其与第二个漏洞串联起来，”他说。“这些因素应该推动组织的行动速度，并且它们共同将实际风险推高到远高于 8.6 在纸面上的读数。”
Volexity 研究人员指出，带有 ICS 的 X-DSCGI-PATH 内部路由头的伪造 HTTP 请求可以利用该缺陷，但警告称，威胁行为者可能会“识别出其他路径，可以用作此利用的 URL 或头目标。”研究人员建议监控 URL 路径与 X-DSCGI-PATH 之间的不匹配。
然而，检测 CVE-2026-104935 的利用可能是一个挑战。虽然 Ivanti 鼓励客户运行其完整性检查工具 (ICT)，但 Volexity 研究人员表示，ICT 工具可能...