Ivanti 公司发布了紧急安全更新，以修复其远程访问网关（Connect Secure - ICS）中的两个新的“零日”漏洞，此前有迹象表明这些漏洞自 2026 年 10 月初以来被用于连锁攻击。此举是该公司旨在堵塞攻击者用于获取企业网络深层控制权限的漏洞所采取的措施之一。
漏洞详情与连锁利用机制
第一个漏洞编号为 CVE-2026-111357，是一个高危权限提升漏洞；第二个漏洞 CVE-2026-118527 则允许已通过身份验证的攻击者在未更新的设备上上传恶意文件。攻击者将这两个漏洞与 Ivanti 上个月已修复的另一个身份验证绕过漏洞（CVE-2026-104935）进行了连锁利用。
该公司解释称，最初决定优先修复身份验证绕过漏洞，因为它是主要的攻击路径，但后来发现攻击者利用其他漏洞在系统内站稳脚跟。Ivanti 证实，这种连锁利用方式使得攻击者即使在企业认为已完全受保护的设备上，也能以“根用户”（Root-level）权限执行代码。
攻击者行为与隐蔽技术
监测到这些攻击的网络安全公司 Volexity 透露，一个被称为 UTA0576 的威胁组织是这些行动的幕后黑手。此次攻击的特点在于，攻击者并未依赖植入传统的恶意软件或 Web Shell，而是在执行每条命令时重复利用该漏洞，同时篡改系统日志以抹除痕迹，从而规避 Ivanti 完整性检查工具的检测。
安全情报公司 Defused 也证实了这些发现，并指出首次活跃利用的迹象始于 10 月 1 日，这反映了攻击者对关键基础设施中新发现漏洞的快速响应能力。
官方警告与全球影响
鉴于形势严峻，美国网络安全与基础设施安全局（CISA）已将该主要漏洞添加到已知被利用漏洞目录中，并要求联邦机构立即更新其系统。Shadowserver 监测数据显示，互联网上仍有超过 5,000 台 ICS 设备处于暴露状态，目前尚不清楚有多少设备已真正完成加固。
为何此消息至关重要？
Ivanti 的远程访问网关是网络间谍组织（尤其是与国家背景相关的组织）的首选目标，因为它们提供了直接进入大型企业网络窃取敏感数据的入口。实际发生变化的是，攻击者通过“无文件攻击”（Fileless attacks）变得更加隐蔽，这使得仅依赖传统扫描工具已不足够。系统管理员不仅需要安装更新，还必须审查 10 月初以来的访问日志以查找任何异常活动，因为更新虽然修复了漏洞，但无法驱逐已经成功入侵系统并以其他方式建立驻留的攻击者。