美国网络安全与基础设施安全局（CISA）敦促安全团队立即更新Ivanti Connect Secure设备，此前该机构确认，至少自10月1日起，攻击者便在零日攻击中利用身份验证绕过漏洞。
该漏洞编号为CVE-2026-104935，被评定为高危漏洞，可让远程且无权限的攻击者在目标系统上执行任意命令。攻击无需用户交互，这进一步增加了其对暴露在互联网上的设备的威胁。
Ivanti更新与观测到的利用活动
Ivanti于周二发布22.8R2.5、25.1.3.0、25.1.3.1和25.1.1.2版本以修复该缺陷，并敦促客户立即采取行动，同时指出该漏洞已在野外遭到有限利用。
Volexity表示，一个由其追踪为UTA0576的未知威胁组织至少自10月3日起，开始将该漏洞与另外两个漏洞结合使用，实施一条结合身份验证绕过、远程执行和权限提升的攻击链，最终在未经身份验证的情况下以根权限执行命令。
据Volexity称，入侵后的活动针对凭据和Active Directory机密信息，包括Local Administrator Password Solution（LAPS）密码和BitLocker恢复密钥。Defused也确认发现了该漏洞自10月1日起在野外遭利用的迹象。
为什么这则消息很重要？
Shadowserver监测到互联网上有超过5,600台主机带有Ivanti Connect Secure的特征，但这一数字无法说明其中有多少已受到保护，或代表虚假的受监控环境。因此，仅安装更新不足以证明没有发生入侵，尤其是因为攻击者的命令可能在内存中执行。
CISA已将该漏洞加入已遭实际利用漏洞目录，并依据具有约束力的运营指令BOD 26-04，要求联邦行政机构在周五前保护其网络。该机构还向所有安全团队和网络管理员发出单独警告，要求更新系统并核查入侵迹象。
怀疑遭到入侵时应采取什么措施？
CISA警告不要单独依赖Ivanti的Integrity Checker Tool，因为当命令在内存中执行时，该工具可能无法发现CVE-2026-104935的利用痕迹。该机构建议进行网络和内存取证分析，并在确认遭到入侵后采取以下步骤：
- 创建设备配置备份。
- 执行恢复出厂设置并安装最新版本；对于云端和虚拟系统，应进行重建和更新。
- 从备份中恢复配置。
- 更改所有账户的密码，包括域账户、管理员账户和本地账户。
- 撤销已存储的证书并重新签发，同时重置API密钥和许可证服务器凭据。
此次事件属于近年来Ivanti Connect Secure漏洞在实战中遭利用的一系列事件之一。自2021年11月以来，CISA已将36个与Ivanti相关的漏洞列入已遭实际利用漏洞目录，其中12个还被用于勒索软件攻击。