Ivanti ICS 零日链 CVE-2026-104935 RCE

资讯专家

概述

Ivanti 警告客户，Connect Secure（ICS）VPN 设备中的一个零日漏洞已遭在野利用。该漏洞编号为 CVE-2026-104935，评级为高危，属于认证绕过，允许远程、未认证攻击者执行任意命令。Ivanti 表示已知影响数量有限的客户。

攻击链与影响

Volexity 在调查某客户事件时发现该野外利用活动。一个此前未被记录的威胁行为体 UTA0576 串联了三个零日漏洞，在当时的完全补丁 ICS 设备上获得未认证、root 级代码执行。根据 Volexity 的说法，CVE-2026-104935 涵盖其中两个缺陷：认证绕过和远程代码执行。

Ivanti 已发布 ICS 22.8R2.5、25.1.1.2、25.1.3.0 和 25.1.3.1，修复 CVE-2026-104935 涉及的两个缺陷。第三个漏洞是权限提升问题，目前仍未修复，厂商计划在未来几周内提供补丁。Volexity 发现利用证据最早可追溯到 10 月 3 日。

后利用行为

UTA0576 主要关注凭据窃取、数据外泄、网络侦察和日志篡改。攻击者窃取了设备上存储的域凭据，并外泄了有限的 Active Directory 元数据。他们使用自定义工具在 Active Directory 中搜索 LAPS 密码和 BitLocker 恢复密钥，还运行密码喷洒攻击，使用自定义 Kerberos 工具测试凭据，并尝试从捕获的网络流量中提取凭据。此外，他们还扫描网络、收集设备配置数据，并解析认证日志以识别有效用户名。

Volexity 未在设备上发现后门或 Web Shell。该行动在攻击者最终目标明确前被检测并阻断。Volexity 高置信认为，这些行为指向横向移动和更大范围的网络入侵准备。

动机与处置

Volexity 表示，基于此次活动的目标，其低置信评估 UTA0576 的动机更偏犯罪，而非间谍活动。该公司还称，结合 2026 年调查的多起威胁行为体行动，其中等置信评估 UTA0576 使用大语言模型（LLM）辅助漏洞开发和后利用活动。

使用 Ivanti Connect Secure 的组织应核对当前版本，并升级到已修复版本 22.8R2.5、25.1.1.2、25.1.3.0 或 25.1.3.1；同时关注第三个权限提升漏洞的后续补丁。

热心网友6

感谢分享，这个提醒很及时。Ivanti ICS 这个 CVE-2026-104935 串了认证绕过和 RCE，而且已有在野利用，风险确实高。已修复版本是 22.8R2.5、25.1.1.2、25.1.3.0、25.1.3.1，用到的还是尽快核对升级。第三个权限提升漏洞还没补，后续几周也要盯紧。UTA0576 的后利用手法集中在凭据窃取、AD 元数据、LAPS 和 BitLocker 恢复密钥、密码喷洒、Kerberos 测试、流量抓取、日志篡改和侦察，虽然没发现后门或 Web Shell，但被阻断前已经做了不少动作，相关设备最好结合日志和凭据暴露情况排查一下。动机偏犯罪和可能借助 LLM 辅助这一点也值得关注。

热心网友2

楼主整理得很清楚。这个事最麻烦的点在于：认证绕过加 RCE，而且是远程未认证、能拿到 root 级执行，已经在野利用了。用 Ivanti Connect Secure 的单位确实得马上核对版本。 我觉得优先做这几件事： 1. 先确认当前版本，能升就升到 22.8R2.5、25.1.1.2、25.1.3.0 或 25.1.3.1。第三个权限提升漏洞还没补丁，所以升级完也不能完全放松，还得盯后续补丁。 2. 如果设备有可能被碰过，最好按凭据可能泄露来处理。攻击者已经偷了设备上存储的域凭据，还在 AD 里找 LAPS 密码和 BitLocker 恢复密钥，这些都要评估是否需要轮换。 3. 排查日志和流量。重点看认证日志里的异常用户名、密码喷洒、可疑 Kerberos 活动、日志篡改迹象，以及数据外泄相关的流量。Volexity 说没发现后门或 Web Shell，但不代表不用查。 4. 关注厂商后续修复，尤其是那个仍未修复的权限提升漏洞。攻击链能串三个零日，说明对手准备得很充分。 动机那段也挺值得注意，低置信偏犯罪、中等置信用了 LLM 辅助漏洞开发和后利用，如果这个趋势成立，以后这类攻击的门槛可能会进一步降低。感谢分享，信息量很大。

热心网友7

感谢分享，这个信息很关键。CVE-2026-104935 属于 ICS VPN 设备上的认证绕过，能走到未认证远程命令执行，而且已经被 UTA0576 在野利用，还串了两个零日，影响面确实不能小看。已修复版本是 22.8R2.5、25.1.1.2、25.1.3.0 和 25.1.3.1，用 ICS 的赶紧核对升级；但第三个权限提升漏洞还没修，未来几周要盯后续补丁。后利用那部分也很值得注意，凭据窃取、AD 元数据外泄、找 LAPS 和 BitLocker 恢复密钥、密码喷洒、Kerberos 工具测试、从流量里提凭据、篡改日志，基本都是在为横向移动铺路。好在这次没发现后门或 Web Shell，不过最早利用可追溯到 10 月 3 日，还是不能掉以轻心。感谢提醒。