Ivanti敦促客户立即更新远程访问门户Ivanti Connect Secure，此前披露了零日漏洞CVE-2026-104935。这是一个正在实际攻击中遭利用的高危身份验证绕过漏洞。该漏洞影响22.8R2.4及更早版本、25.1.2.2及更早版本，以及25.1.1.1及更早版本。
攻击者可利用该漏洞，通过不需要用户交互的低复杂度攻击，在目标设备上执行任意命令。Connect Secure此前称为Pulse Connect Secure，更早之前称为Juniper Pulse，用于为员工、承包商和混合办公团队提供安全访问企业资源及云服务的能力。
多阶段利用
Ivanti表示，在披露时已发现该漏洞在互联网环境中遭到有限利用，并呼吁客户查阅安全公告、升级到已修复版本，并定期运行Integrity Checker工具。但发现并报告该漏洞的Volexity表示，一个被其追踪为UTA0576的未知威胁组织至少从10月3日起就开始利用该漏洞，并将其与另外两个漏洞结合使用，在无需身份验证的情况下以根权限执行代码，即使是在已完全更新的设备上也如此。
据Volexity称，攻击方没有植入恶意软件或持久化网页工具，而是每次执行命令时重新利用设备；攻击方还篡改日志以隐藏痕迹，并成功绕过Ivanti的Integrity Checker工具。Defused公司确认，其于10月1日发现了该漏洞在野外遭利用的首批迹象。
实际会发生什么变化？
风险并不局限于安装当前漏洞的补丁。Ivanti指出，它仍在处理一个曾在同一攻击链中被利用的权限提升漏洞。因此，受影响设备的运营方需要完整遵循安全公告，验证系统和日志的完整性，并且不能仅将通过Integrity Checker视为设备未遭篡改的充分证据。
Shadowserver追踪到超过5,500个暴露在互联网上的Connect Secure实例，但目前没有信息能够确定其中有多少设备是蜜罐，或有多少设备已经得到保护。这进一步凸显了识别暴露资产并确定其升级优先级的重要性，尤其是远程访问门户处于互联网与企业网络之间的边界位置。
面向目标产品的反复攻击背景
过去几年，Ivanti修复了Connect Secure中的多个在攻击中遭利用的零日漏洞，其中包括2024年1月的CVE-2023-46805和CVE-2024-21887、同月稍晚时候的CVE-2024-21893，以及2025年的远程代码执行漏洞CVE-2025-0282和CVE-2025-22457。美国网络安全和基础设施安全局CISA还统计称，自2021年11月以来，Ivanti产品中共有36个漏洞遭到实际利用，其中12个被勒索软件团伙滥用。
certi.news解读：这里的实际变化，是身份验证绕过漏洞从披露范围进入实际利用阶段，使攻击者获得以高权限执行命令的能力，同时还出现了有助于规避验证工具的手法迹象。至于利用范围以及实际遭入侵的设备数量，目前仍未确定，因此更新和对受影响系统进行取证核查是必须并行推进、彼此不可替代的两项工作。