Ivanti Connect Secure 漏洞触发 CISA 警告，但仅靠打补丁还不够
在 10 月 13 日漏洞披露前，攻击者已针对完成全部补丁更新的设备利用 Ivanti Connect Secure 漏洞，Ivanti 因此面临紧急响应。CISA 当天将 CVE-2026-104935 纳入其已知被利用漏洞目录。该漏洞可让远程攻击者绕过身份验证，并在无需用户交互的情况下执行任意命令。
眼下的指令很简单：安装 Ivanti 提供的修复版本。更棘手的问题是，如何确定攻击者是否已经入侵、窃取凭据，并清除了最明显的证据。调查人员发现，观测到的攻击者会反复利用设备，而非安装传统后门。
这种行为挑战了人们熟悉的“打补丁再扫描”响应模式。补丁会封堵已披露的入侵路径，却不会使被盗的密钥失效，也无法证明设备此前未被入侵。对于暴露在互联网中的 VPN 网关，修复工作如今既需要软件维护，也需要开展事件调查。
CISA 将 Ivanti Connect Secure 漏洞列为紧急事件
CISA 的警告让 CVE-2026-104935 从理论上的软件缺陷，变成了已确认的事件响应优先事项。
该机构 10 月 13 日发布的联邦警报称，威胁行为者正利用该漏洞窃取凭据和外传数据。CISA 还将该漏洞列入其已知被利用漏洞目录，即通常所称的 KEV。
与一般漏洞通知相比，KEV 收录具有更高的运营层面权重。这意味着 CISA 已掌握攻击者在实验室外利用该漏洞的证据。联邦民事机构必须按照具有约束力的联邦要求修复 KEV 条目。
受影响产品处于企业网络中尤其敏感的位置。Ivanti Connect Secure 是一款远程访问网关，可将用户连接至内部应用和云资源。它既必须接收互联网流量，也必须与内部身份系统维持受信任连接。
这种部署位置使得成功绕过身份验证的后果格外严重。攻击者并非从普通员工工作站开始入侵，而是从一台专为协调互联网与受保护服务之间访问而设计的设备开始。
CVE-2026-104935 的 CVSS 评分为 8.6。它被归类为通过欺骗实现的身份验证绕过，这意味着设备错误信任了用于路由请求的信息。利用该漏洞复杂度较低，不需要现有账户，也无需受害者交互。
Ivanti 表示，受影响的版本包括：
该代码分支中的 25.1.1.1 及更早版本
该代码分支中的 25.1.2.2 及更早版本
该代码分支中的 22.8R2.4 及更早版本
可用的修复版本包括 25.1.1.2、25.1.3.0、25.1.3.1 和 22.8R2.5。管理员必须将更新与其部署的分支相匹配，并在安全公告中确认最新指引。
Ivanti 表示，22.7.x 及更早版本不受这一特定漏洞影响。这一说法不应被理解为对旧版软件提供一般性的支持或安全保证。组织必须另行审查已安装版本的生命周期状态及其他漏洞。
该公司称，在披露漏洞时已获悉有限的利用活动。“有限”描述的是 Ivanti 已知的案例，而非受损设备的总数。成熟的攻击者往往会尽量减少痕迹，而许多组织并未收集网络设备的完整遥测数据。
互联网暴露进一步增加了紧迫性。漏洞披露后，Shadowserver 追踪到超过 5,500 个疑似在线的 Connect Secure 实例。该数量可能包含蜜罐、重复观测以及已完成更新的系统。
不过，这一数字仍说明了可被触达的攻击面。一旦技术细节传播开来，攻击者扫描脆弱网关的速度会远快于许多企业安排维护的速度。因此，暴露在互联网中的设备既面临原始攻击者的风险，也面临后续模仿者的风险。
这正是 CISA 使用“立即”一词的原因。常规的月度补丁周期假定防御方有时间测试、安排并部署更新。已确认的零日利用打破了这一假定。
然而，更新只是第一项决策。观测到的攻击活动始于公开披露之前，并针对运行当时最新可用版本的设备。因而，每个受影响组织都必须追问暴露何时开始，而不只是其何时安装补丁。
攻击者无需登录即可获得 Root 权限
该攻击之所以奏效，是因为三个弱点形成了一条链，将一次公开登录请求转化为以 root 权限执行命令。
Volexity 在一项于 10 月 5 日启动的调查中发现了这一活动。研究人员将可疑行为追溯至一台运行 22.8R2.4、Build 19097 版本的 Ivanti Connect Secure 设备。该版本在当时已完成全部补丁更新。
该公司发现，漏洞利用活动最早可追溯至 10 月 3 日。据报道，另一家威胁情报提供商观察到相关迹象最早始于 10 月 1 日。公开披露和修复措施于 10 月 13 日才发布，期间存在一段具有实质意义、暴露情况未知的窗口期。
Volexity 将这一身份未明的攻击者追踪为 UTA0576。该标签标识的是一组活动集群，而非已确认的组织或政府支持者。该公司以较低置信度评估，观测到的行动更可能出于犯罪动机，而非间谍活动。
第一步利用了围绕 welcome.cgi 的请求路由问题；这是一个为设备登录页面提供服务的公开组件。攻击者在 X-DSCGI-PATH 标头中提供了另一条路径。设备对公开 URL 进行授权检查，却使用该标头选择目标位置。
这种不匹配将未经身份验证的请求路由至 wu.cgi，即受保护的上传处理程序，从而导致身份验证绕过。原本应位于登录控制之后的组件，变得可通过公开请求访问。
第二步利用了一个短暂的文件处理竞态条件。竞态条件是指安全性取决于两个操作中哪一个先完成。在这里，上传处理程序会在验证文件是否为有效 ZIP 存档前写入所提供的文件。
攻击者上传了一个扩展名为 .zip 的 Perl 脚本。处理程序最终会拒绝并删除这个无效文件。不过，在删除前，该文件会短暂存在于磁盘上。
UTA0576 发送并行请求，试图在这一窗口期间执行临时文件。重复发送这些请求可提高某个请求在清理前抵达的概率。时机成功时，便会以受限的 cgi-server 账户执行代码。
Ivanti 将身份验证绕过和远程代码执行步骤归入 CVE-2026-104935。其 10 月 13 日发布的版本修复了这条攻击链中的相关部分。第三步，即将权限提升至 root，则被单独处理。
为实现权限提升，攻击者操纵了某个特权后台服务信任配置数据的方式。该漏洞利用修改了进程内存中的 Ivanti 库，随后将一个合法维护任务重定向至恶意 Perl 脚本。
特权服务以 root 身份执行了该脚本。Root 权限让攻击者获得对底层设备最高级别的实际控制。该漏洞利用通过测试能否读取 /etc/shadow 来检查是否成功；该文件存储 Linux 系统中受保护的密码信息。
随后，攻击者恢复了被修改的配置和内存指令，并从 Ivanti 调试日志和 Linux 审计日志中删除了部分条目。这些操作减少了每次执行命令后留下的证据。
完整的技术复盘显示，这次攻击并非单个请求携带一个永久有效载荷。每当需要执行另一条命令时，攻击者都会重新运行漏洞利用链。
这种方法较为繁琐，但对攻击者而言具有防御优势。调查人员并未在受损设备上发现初始阶段后门或传统 Web shell。命令及其输出均通过漏洞利用的 HTTPS 请求传输。
部分有效载荷阶段仅存在于内存中。其中一个阶段解包经压缩和 Base64 编码的 Python 脚本，并在不将原始脚本保留在磁盘上的情况下执行它。仅内存执行限制了后续常规文件扫描所能恢复的内容。
Volexity 表示，该攻击链还规避了 Ivanti 的 Integrity Checker Tool。该工具用于查找意外的文件变更，但攻击临时修改的是内存和配置数据。获得 root 权限后，漏洞利用会恢复这些变更。
这一区别对每个受影响组织都很重要。完整性检查未返回任何异常文件修改，并不能证明漏洞利用从未发生。它只回答了该工具本就被设计用来检查的较窄问题。
凭据窃取使 VPN 成为攻击跳板
UTA0576 利用受损网关获取身份数据，将设备漏洞转化为更广泛的企业访问问题。
攻击者的利用后活动主要集中于凭据、目录信息、网络侦察和数据转移。这些行动表明，其正为向 VPN 设备之外横向推进做准备。Volexity 表示，在攻击者的最终目标变得明确之前，该行动已被中断。
Active Directory 是主要目标。Active Directory 是 Microsoft 用于管理企业身份、计算机、权限和身份验证的目录服务。VPN 设备通常通过服务账户连接至它，以验证远程用户身份。
UTA0576 利用设备的访问权限查询内部域控制器。调查人员恢复了一个自定义 LDAP 工具及相关 Python 脚本。LDAP 是一种用于搜索和管理目录信息的协议。
攻击者搜索了多类高价值数据：
本地管理员密码解决方案凭据
BitLocker 恢复信息
包含已存储密码值的属性
用户账户元数据和登录脚本路径
身份验证记录中发现的有效用户名
本地管理员密码解决方案，即 LAPS，用于管理 Windows 设备的本地管理员密码。BitLocker 恢复信息可解锁已加密的 Windows 驱动器。无论哪一种信息遭窃，都可能在脆弱 VPN 完成修补后很久仍扩大攻击者的访问权限。
攻击者在通过漏洞利用通道转移目录查询结果前，对其进行了压缩和编码。Volexity 以高置信度评估，攻击者已外传可通过目标 Active Directory 查询获取的信息。
UTA0576 还检查了存储在设备上的数据包捕获文件。攻击者运行了一款解析器，旨在从记录的网络流量中寻找凭据和密码破解材料。其目标包括明文 LDAP 凭据、HTTP Basic Authentication 凭据，以及 NTLM 质询-响应哈希。
NTLM 哈希可能支持离线密码攻击或其他凭据滥用技术。风险取决于组织的配置、密码质量和身份验证控制措施。即使只收集这些哈希，也会带来超出更新单台设备之外的修复负担。
调查人员发现，一个更名后的数据包捕获工具正在隐藏目录中运行。该工具筛选与明文协议相关的流量，包括 LDAP、HTTP、FTP 和 Telnet。八个轮换的捕获文件在持续替换旧流量的同时限制了存储占用。
该攻击活动还包括内部 DNS 查询和主机名侦察。攻击者使用辅助脚本对 Active Directory 账户进行密码喷洒。密码喷洒会针对多个账户尝试少量可能的密码，以避免针对单一用户名反复失败。
这些活动说明，边缘设备为何可能成为极具价值的情报位置。它处理身份验证流程，并能看到普通终端可能永远收不到的网络流量。攻陷它不仅能获得入口，也能搭建观察内部关系的平台。
观察到的攻击者还搜索了 VPN 配置目录和身份验证日志。这些记录可能揭示身份验证方法、用户名、内部域和已连接服务。即使搜索未成功，也能帮助攻击者绘制下一阶段的行动路径。
这正是 CISA 警告中的核心反转。组织购买远程访问网关是为了执行身份边界控制。而在这起事件中，网关却成为绕过身份验证的路径，继而成为额外身份验证材料的来源。
这一风险并不限于设备的本地账户。管理员必须考虑设备存储、传输、捕获的每一项机密，以及其可通过集成服务账户访问的机密。相关范围可能包括目录凭据、恢复密钥、令牌和用户密码。
凭据轮换必须遵循证据和架构。毫无计划地重置每个账户，可能会在遗漏不易察觉的服务凭据时扰乱业务。团队应识别设备的集成关系，并优先处理具有特权或可复用访问权限的机密。
组织还应审查源自该网关的活动。成功利用漏洞后，恶意连接可能看似来自受信任的网络设备。下游系统对这些连接的处理方式可能不同于普通互联网流量。
Volexity 发现了为横向移动做准备的迹象，即从初始设备向其他系统扩展。它并未声称观察到的每一种技术都已成功实施，也未确定攻击者的最终目标。
这种不确定性应当缩小结论范围，而不应延误遏制行动。防御者已在至少一个受调查环境中验证了凭据窃取和数据外泄的证据。他们不应假设更新设备就能消除先前访问造成的所有后果。
修补漏洞能关闭入口，但不能结束调查
当前的主要冲突在于修补与取证：安装修复后的软件是必要的，但无法证明此前的利用是否成功。
Ivanti 建议客户立即升级，并定期运行其 Integrity Checker Tool。这些措施可以降低暴露风险，并识别某些形式的篡改。但它们无法覆盖本事件中记录的所有技术。
Volexity 发现，攻击者删除了部分日志条目，并还原了临时变更。攻击者还在使用脚本和执行结果后将其移除。一些重要组件仅在内存中运行。
这种反取证行为改变了干净扫描结果的意义。符合预期的结果可能意味着设备是干净的，也可能意味着攻击者避开了所选工具检测的痕迹。
因此，Rapid7 的响应分析建议在应用更新后继续搜寻受害迹象。识别到可疑活动的组织应遵循 Ivanti 的恢复指南，并保留有用证据。
当设备日志无法提供信息时，网络遥测数据可能带来线索。Volexity 建议关注针对公开 welcome.cgi 路径的异常大量请求。防御者还可检查请求的 URL 与 X-DSCGI-PATH 标头之间是否存在不一致。
这些指标很有价值，但并不完整。攻击者可以调整路径、时机、基础设施和后渗透命令。缺少某一种已公开的模式，绝不应被视为通用的安全放行测试。
内存采集能够暴露磁盘检查遗漏的易失性痕迹。然而，从生产网关采集内存需要恰当的流程和专业知识。草率重启或重建可能毁掉理解事件所需的证据。
这造成了一种运营权衡。团队希望尽快将易受攻击的设备从服务中移除，而调查人员希望保留足够状态，以确定发生了什么以及哪些凭据需要替换。
正确的顺序取决于暴露情况、业务需求、冗余配置和可获得的取证支持。组织一旦发现指标或来自设备的无法解释连接，就应尽早让事件响应人员参与。应记录每项遏制措施及其时间。
一套经得起审查的响应通常会区分四个问题：
已安装的版本是否存在漏洞？
设备在漏洞利用窗口期间是否可被访问？
是否存在尝试利用或成功利用的证据？
遭入侵后，哪些系统和凭据可被访问？
修补只回答第一个问题。暴露记录、网络日志、内存证据、身份日志和下游遥测数据则回答其余问题。将这些问题混为一谈会造成虚假的信心。
尚未解决的权限提升缺陷又增加了一层复杂性。Ivanti 于 10 月 13 日修复了身份验证绕过和远程代码执行组件。Volexity 表示，Ivanti 计划在后续版本中修复独立的权限提升漏洞。
这并不意味着在 10 月修复后，已记录的攻击链仍可被利用。关闭其未认证入口和执行阶段，应会阻断这条特定路径。不过，管理员仍应跟踪额外版本，并在 Ivanti 提供后立即安装。
组织还需要验证更新是否真正完成。设备集群、备用节点、灾难恢复系统和被遗忘的测试网关，可能在主设备变更后仍然存在漏洞。应将资产记录与实际版本数据进行核对。
外部发现有助于暴露未受管理的风险敞口。Shadowserver 的暴露面仪表板提供了一种外部视角，但没有任何外部数据集能提供完美的资产清单。内部所有权记录仍然不可或缺。
完整响应必须包括身份控制。团队应检查身份验证模式、服务账户使用情况、特权目录查询、密码喷洒信号和异常恢复密钥访问。团队在理解这些机密的依赖关系后，应对相关机密进行轮换。
下游系统值得单独审查。来自 VPN 设备的连接可能继承了信任，或绕过了适用于普通客户端的控制措施。调查人员应识别在疑似受害窗口内源自网关的异常流量。
最安全的结论也是最不方便的结论：这起事件没有一个“一切正常”按钮。修复后的软件、干净的完整性检查结果以及未发现已公开指标，都能提供证据；但它们均无法单独证明设备从未遭到入侵。
Ivanti 早期零日漏洞加剧了压力
CVE-2026-104935 在多起边缘产品被反复利用之后出现，因此客户不仅在评估一项补丁，也在评判响应成熟度。
近年来，Ivanti Connect Secure 面临多项严重且正被积极利用的漏洞。2024 年初，攻击者将 CVE-2023-46805 与 CVE-2024-21887 串联利用。该组合可针对面向互联网的网关实现身份验证绕过和命令注入。
CISA 在那次事件中采取了强硬应对措施。联邦机构收到指示，要求应用缓解措施、运行完整性检查，并在特定条件下最终断开受影响设备。后续分析警告称，攻击者即使在采取部分恢复措施后仍可能维持访问权限。
2025 年 1 月，Ivanti 披露 CVE-2025-0282 正遭到积极利用；这是一个影响 Connect Secure 的基于栈的缓冲区溢出漏洞。同年晚些时候，另一项 Connect Secure 漏洞 CVE-2025-22457 被关联到一个与中国有关联的间谍组织实施的利用活动。
这起新事件并不能证明每台 Ivanti 设备都已遭入侵，也不能证明 Ivanti 的安全性独特地不足。来自多个供应商的企业边缘产品都会吸引密集研究和持续的攻击者兴趣。它们所处的位置，使成功利用的价值异常高。
Volexity 将此与近期针对 SonicWall Secure Mobile Access 设备的利用活动直接比较。在两起事件中，获得 root 访问权限的攻击者都检查了数据包捕获内容以恢复凭据。这种重叠表明，攻击者针对受信任网络边缘系统采取了更广泛的策略。
VPN 网关具备多项有利于攻击者的特征。它们可从互联网访问，通常持续运行，并直接连接到身份基础设施。它们还运行专用操作环境，而许多终端安全产品无法像监控普通终端那样监控这些环境。
工作站可能部署终端检测、应用控制和详细的进程遥测数据。安全设备通常向其所有者提供较少的调查工具。攻击者可以利用这种可见性缺口，同时在高度受信任的网络位置开展活动。
这种反复出现的模式同时向供应商和客户施压。供应商必须缩短从发现局部缺陷到保护所有受支持分支之间的时间。客户则必须减少对紧急公告作为主要检测机制的依赖。
Ivanti 表示，CVE-2026-104935 的一部分是通过其产品安全计划发现的。该组件已在 2026 年 7 月发布的 25.1.3.0 版本中修复。在公司将修复回移植到其他受支持版本期间，漏洞利用活动已经发生。
这一时间线值得审查，但不足以支持简单的指控。将安全变更回移植到不同发布分支，可能需要工程工作和兼容性测试。公开细节无法确定 Ivanti 何时了解完整攻击链或其现实世界中的利用情况。
结果仍然暴露了补丁缺口。在一个分支已包含相关修复后，其他受支持分支上的部分客户仍然易受攻击。攻击者在这一期间开展活动，并攻陷了被视为该产品线当前版本的发布版本。
这带来一个实际的采购问题。采购方应询问供应商如何将安全修复传播到受支持的各个分支。他们还应询问检测指南是否会随修复一同提供，以及设备如何保留取证证据。
客户无需等待下一份公告，也能降低未来的暴露风险。他们可以最小化直接互联网可达性、限制管理接口，并监控源自网关的流量。他们还可以集中化日志，以免攻击者在本地抹除所有有用记录。
网络分段同样重要。远程访问设备不应仅因其承担受信任功能就获得不受限制的访问权限。其服务账户应仅拥有必要权限，同时应尽可能淘汰明文身份验证协议。
这些措施并不能消除零日风险。它们限制的是一台设备失陷后攻击者所能获得的价值。Ivanti、SonicWall、Citrix 及其他边缘事件反复说明：边界设备同样需要内部遏制措施。
因此，Ivanti 面临的压力不止于发布更新。客户将关注剩余的权限提升修复何时能够到位，也会评估新版本是否改善了证据收集能力，并能抵抗仅存在于内存中的篡改。
三个信号将表明应对是否奏效
下一阶段取决于利用活动是否增长、Ivanti 剩余修复的进展，以及是否出现超出最初调查环境范围的受损证据。
第一个信号是，公开披露后扫描和利用活动是否扩大。技术细节现已公开，尽管 Volexity 未披露可直接武器化的漏洞利用代码。其他攻击者仍可研究该路由缺陷、复现竞争条件，并开发自己的实现方式。
若涉及 welcome.cgi 或可疑 X-DSCGI-PATH 值的请求大幅增加，将进一步证明有必要采取紧急遏制措施。事件响应公司的报告将显示，UTA0576 是否仍是主要操作者，还是已成为众多攻击者之一。
第二个信号是 Ivanti 承诺针对另一项权限提升漏洞发布的修复。管理员应跟踪该公司的安全公告、发行说明及受支持版本指南，并在部署后核实每个活动节点和备用节点。
及时发布将消除攻击链中记录的另一条本地提权路径。若出现延迟，即使 CVE-2026-104935 本身已完成修补，客户仍将面临额外的不确定性。
第三个信号是下游受损情况的发现。涉及被盗目录凭据、未经授权访问 BitLocker 恢复信息或横向移动的新报告，将扩大人们对该事件影响范围的认识，也将证实仅针对设备的修复措施过于狭窄。
组织不应等到这些报告出现后，才检查自身环境。观察到的操作者在获取 root 权限后立即搜寻身份机密信息。这一行为界定了暴露系统调查范围的最低标准。
防御人员应保留覆盖整个暴露窗口期的网关、防火墙、身份、DNS 和目录日志。他们应查找来自该设备、但不符合正常远程访问行为的连接。相关服务账户和可重复使用的机密信息需要得到特别关注。
Ivanti Connect Secure 漏洞也为漏洞管理计划提供了一项更广泛的检验。资产清点速度与补丁速度同样重要。组织无法保护无人负责的备用网关、被遗忘的实验室设备或继承而来的设备。
因此，CISA 的警告应触发一套协调一致的工作流程。安全运营、网络工程、身份团队和事件响应人员需要共享同一条时间线和资产清单。每个团队都能看到攻击路径的不同部分。
打补丁仍然紧迫，但这只是开场动作。更重要的问题是：在补丁到来前，你的组织能否证明该设备访问过什么？现在就审查公告、确认每个已部署版本、保全证据，并调查源自网关的活动。如果该设备可以访问有价值的身份数据，你是否仍将其视为常规维护，还是视为一次可能的数据泄露？
