对企业远程办公而言，VPN 网关是边界上最重要的一扇大门。10 月 13 日，Ivanti 披露了 Connect Secure（ICS）一个正在被在野利用的认证绕过零日 CVE-2026-104935；十几天后，安全厂商 Volexity 公布的分析显示，攻击者并不是只用这一个漏洞——他们把三个漏洞串成了一条链，在"已经打过 10 月补丁"的设备上依然拿到了 root 权限。10 月 30 日，CISA 将链条上的另外两个漏洞列入"已知被利用漏洞"（KEV）目录；11 月 2 日，Ivanti 发布覆盖全部三个漏洞的修复版本。这篇文章把事件、原理、排查和加固要点一次讲清楚。
事件概述：一个月内第三次零日，三个漏洞串成一条链
Ivanti Connect Secure 是企业级 SSL VPN 网关，承担远程办公接入、身份认证和内网访问流量的转发，通常直接暴露在互联网上。这也让它常年是高级攻击组织优先突破的目标。
10 月 13 日，Ivanti 发布安全公告，确认 CVE-2026-104935（认证绕过，CVSS 8.6）正在被在野利用，并同步发布修复版本；该漏洞当日被 CISA 列入 KEV。同日 Volexity 发布事件分析，将攻击者追踪为 UTA0576，并披露关键事实：对方至少从 10 月 1 日起就把三个零日漏洞组合使用，实现未认证的 root 级代码执行。
10 月 28 日，CISA 就新发现的两个漏洞发布警报；10 月 30 日正式将其列入 KEV：CVE-2026-111357（Ivanti 自评 CVSS 8.8）与 CVE-2026-118527（CVSS 4.3），联邦民事机构的修复期限分别为 11 月 2 日和 11 月 13 日，其中前者带有"取证分诊"标记。10 月 29 日，Ivanti 更新公告并放出覆盖整条攻击链的修复：ICS 25.1.1.3 与 22.8R2.6（据 BleepingComputer 等安全媒体报道，该版本于 11 月 2 日正式提供下载）。Ivanti 表示，披露前的利用仅影响"有限数量的客户"。
三个漏洞如何分工：从未认证破门到 root 权限
这条链最值得研究的地方在于分工。三个漏洞单独看都不算"满分"，组合起来却完成了未认证到 root 的完整突破：
CVE-2026-104935（认证绕过，CVSS 8.6，CWE-290）：攻击者可以伪造身份绕过 ICS 的认证机制，远程未认证即可执行任意命令（Ivanti 公告口径）。这是整个链条的"破门锤"，10 月 13 日已修复。
CVE-2026-111357（关键功能缺失认证，Ivanti 自评 CVSS 8.8，NVD/CVE 记录为 7.0，CWE-306/862/345）：本地已认证的低权限攻击者可以把权限提升到 root。注意评分分歧——按厂商口径这是高危，因为它是链条上"从普通权限到完全控制设备"的关键一跃。
CVE-2026-118527（可预测文件名，CVSS 4.3，CWE-340）：远程已认证攻击者可以向磁盘上位置已知的路径上传内容可控的文件，用于落地载荷和维持持久化。单看分数只是中危，但在链条里它决定了攻击者"能不能留下后门"。
CISA 与比利时网络安全中心（CCB）的通告口径一致：这三个漏洞可以相互串联，最终达成未认证的远程任意命令执行并提权到 root。换句话说，攻击者不需要任何账号，从互联网打到一个暴露的 ICS 实例，就能拿到这台设备的最高权限。
影响范围：哪些版本中招，暴露面有多大
以 Ivanti 官方公告的版本口径为准（具体以 Ivanti 官方公告页 hub.ivanti.com 的最新更新为准）：
对于新披露的两个漏洞（CVE-2026-111357、CVE-2026-118527），受影响版本为 ICS 25.1.1.2 及更早、22.8R2.5 及更早，修复版本为 25.1.1.3 与 22.8R2.6。对于 10 月已披露的 CVE-2026-104935，受影响范围还包括 25.1.2.2 及更早、22.8R2.4 及更早，对应修复为 25.1.1.2、25.1.3.0/25.1.3.1 与 22.8R2.5。22.7 及更早分支不受这些漏洞影响，但 22.7 和 22.8 都将于 2027 年 1 月 31 日停止支持，Ivanti 明确建议迁移到 25.1 产品线——22.8 只是从 22.7 迁往 25.1 的临时过渡分支。使用 ISA6000/ISA8000 硬件且运行 25.1.1.1 的用户，需要升级到 25.1.1.3。
暴露面方面，Shadowserver 长期追踪显示公网暴露的 ICS 实例超过 5000 个。还有一个实操细节需要特别注意：Ivanti 在公告中说明，截至 11 月 1 日，针对两个新 CVE 尚无可靠的漏洞扫描器检查项——不要迷信扫描报告"未命中"，正确的做法是直接登录设备管理控制台或 CLI 核对已安装版本。
为什么"打了 10 月补丁"也可能不够
这是本轮事件对运维最有警示意义的一点。Ivanti 在公告中解释了当时的决策：发现利用活动时，CVE-2026-104935 的修复已进入 QA 阶段，团队决定不推迟发布，先为客户堵住主要利用路径；而提权漏洞的修复仍在完善，其中一部分还是产品安全计划在 7 月发布 25.1.3.0 时修补的，利用活动出现时正在向其他受支持版本回移。
结果就是：10 月 13 日之后升级到 25.1.1.2 或 22.8R2.5 的组织，主观上"打了补丁"，客观上设备对 UTA0576 的另外两个环节依然敞开。多家安全媒体将其称为"部分修复陷阱"——补丁管理不能只回答"打没打"，还要回答"是否覆盖了完整攻击链"。Volexity 的记录显示，攻击者至少在 10 月 1 日就已开始串联利用，比覆盖全链的补丁早了一个多月；这个窗口期内暴露在公网的实例，都应当按"可能已被入侵"来对待。
攻击者画像：UTA0576 的"无文件"隐蔽打法
Volexity 给这个攻击集群的命名是 UTA0576。与其他 Ivanti 攻击战役不同，他们的手法相当"干净"：不投放 webshell、不落地常规恶意软件，而是每执行一条命令就重新利用一次漏洞——设备上几乎不留可扫描的恶意文件，天然具备"无文件"特征。更棘手的是，他们会篡改设备日志以逃避 Ivanti 官方完整性检查工具（Integrity Checker）的检测，这意味着管理员运行官方工具得到"未见异常"的结论，也可能被误导。
从攻击目标看，这个集群的情报收集意图非常明显：Volexity 观察到他们提取凭据和有限的 Active Directory 元数据、进行主机侦察、搜索管理员密码和 BitLocker 恢复密钥。这些材料不用于立即勒索或破坏，而是为后续横向移动和更大规模行动储备"弹药"。此前针对 Ivanti 产品的攻击战役中，同一集群还使用过 GIFTEDVISITOR webshell 和修改 SAML 信任配置等手法维持访问——后者即使重置密码也难以清除。Ivanti 产品线近年零日频发（2024 年的 CVE-2024-21887、2025 年的 CVE-2025-0282，再到本轮三漏洞链），厂商在公告中也直言对该产品线的攻击是持续性的。
排查思路：先查版本，再按"可能已失陷"过一遍
对于自管 ICS 的管理员，建议按以下顺序自查：
第一步，核对版本。登录管理控制台或通过 CLI 查看当前固件版本，与上文的受影响/修复版本对照。不要只依赖漏洞扫描器结论，官方已提示新漏洞暂无可靠扫描检查项。
第二步，回溯时间线。重点排查 10 月 1 日以来的异常：非计划内的管理员登录与会话、配置变更记录、日志出现断档或时间异常（攻击者改日志的典型痕迹）、VPN 隧道异常新建。
第三步，评估失陷面。10 月只打了 25.1.1.2/22.8R2.5 的、或从未升级的暴露实例，应按"假设已失陷"启动调查，而不是等证据。结合外部遥测交叉验证：EDR、SIEM 中的域控与管理员账户登录记录、网络流量日志——因为设备本地日志可能已被动手脚。
第四步，关联凭据风险。攻击者搜索过管理员密码和 BitLocker 恢复密钥，因此一旦确认或高度怀疑设备失陷，应检查域管理员、本地管理员账户的异常使用，并关注后续勒索软件风险——窃取的恢复密钥可以直接用来加密失窃主机。
修复与缓解建议
1. 升级到覆盖全链的版本。25.1 产品线升级到 25.1.1.3，22.8 分支升级到 22.8R2.6；运行 25.1.2.2 及更早的还需要 25.1.3.0/25.1.3.1。升级前备份设备配置，在测试环境验证兼容性，选择维护窗口执行；VPN 网关升级会中断远程接入，务必提前通知业务方并准备回滚方案。涉及重启生产服务的操作，请先评估业务影响。
2. 只打了 10 月补丁的组织，请务必再升级一次。25.1.1.2 与 22.8R2.5 并没有堵住整条链。
3. 收敛暴露面。将 ICS 管理界面限制到管理网段或专用跳板机，审视设备在内网的可达范围。调整网络策略前备份配置、评估对远程办公的影响，保留回滚手段。
4. 疑似失陷按官方指引重建。CISA 在 10 月 13 日的警报中给出处置流程：备份配置→恢复出厂设置→升级（虚拟化和云实例建议直接重建）→恢复配置→轮换凭据。需要轮换的包括域账户、管理及本地账户密码、设备上的证书、API 密钥和许可证服务器凭据；考虑到攻击者搜索过 AD 中的 LAPS 本地管理员密码和 BitLocker 恢复密钥，这两类机密也应一并轮换。
5. 补齐检测能力。将设备日志外发到 SIEM 集中留存，结合网络流量与终端 EDR 做多源互证——在攻击者会篡改日志的环境里，单一数据源的"干净"结论不足以采信。
以上版本号与处置流程以 Ivanti 官方公告和 CISA 指引为准，执行前请再次核对官方页面的最新更新。
后续观察
几个值得持续跟踪的点：其一，官方尚未发布本事件的 IoC 清单，检测主要依赖多源日志互证与行为狩猎，后续 Ivanti PSIRT 的更新值得关注；其二，22.7/22.8 分支明年 1 月 31 日 EOL，迁移到 25.1 只是时间问题，建议把这次事件作为迁移规划的推动力；其三，本轮暴露窗口自 10 月 1 日起持续了一个多月，期间公网暴露过的实例都值得按失陷假设完整过一遍——在零日攻击里，"没有看到告警"从来不等于"没有被入侵"。对采购和续保决策而言，Ivanti 产品线的补丁节奏、虚拟 appliance 的重置重建流程，也应当纳入供应商安全评估的固定项。
暂无评论内容