Ivanti ICS 零日链 CVE-2026-104935 RCE
概述Ivanti 警告客户，Connect Secure（ICS）VPN 设备中的一个零日漏洞已遭在野利用。该漏洞编号为 CVE-2026-104935，评级为高危，属于认证绕过，允许远程、未认证攻击者执行任意命令。Ivanti 表示已知影响数量有限的客户。
攻击链与影响
Volexity 在调查某客户事件时发现该野外利用活动。一个此前未被记录的威胁行为体 UTA0576 串联了三个零日漏洞，在当时的完全补丁 ICS 设备上获得未认证、root 级代码执行。根据 Volexity 的说法，CVE-2026-104935 涵盖其中两个缺陷：认证绕过和远程代码执行。
Ivanti 已发布 ICS 22.8R2.5、25.1.1.2、25.1.3.0 和 25.1.3.1，修复 CVE-2026-104935 涉及的两个缺陷。第三个漏洞是权限提升问题，目前仍未修复，厂商计划在未来几周内提供补丁。Volexity 发现利用证据最早可追溯到 10 月 3 日。
后利用行为
UTA0576 主要关注凭据窃取、数据外泄、网络侦察和日志篡改。攻击者窃取了设备上存储的域凭据，并外泄了有限的 Active Directory 元数据。他们使用自定义工具在 Active Directory 中搜索 LAPS 密码和 BitLocker 恢复密钥，还运行密码喷洒攻击，使用自定义 Kerberos 工具测试凭据，并尝试从捕获的网络流量中提取凭据。此外，他们还扫描网络、收集设备配置数据，并解析认证日志以识别有效用户名。
Volexity 未在设备上发现后门或 Web Shell。该行动在攻击者最终目标明确前被检测并阻断。Volexity 高置信认为，这些行为指向横向移动和更大范围的网络入侵准备。
动机与处置
Volexity 表示，基于此次活动的目标，其低置信评估 UTA0576 的动机更偏犯罪，而非间谍活动。该公司还称，结合 2026 年调查的多起威胁行为体行动，其中等置信评估 UTA0576 使用大语言模型（LLM）辅助漏洞开发和后利用活动。
使用 Ivanti Connect Secure 的组织应核对当前版本，并升级到已修复版本 22.8R2.5、25.1.1.2、25.1.3.0 或 25.1.3.1；同时关注第三个权限提升漏洞的后续补丁。
页:
[1]