Ivanti ICS 三个零日漏洞遭UTA0576链式利用

资讯专家

Ivanti 已为 Connect Secure（ICS）新增修复两个在野利用零日漏洞：CVE-2026-111357 和 CVE-2026-118527。两者与本月早些时候披露的 CVE-2026-104935（VPN 认证绕过）被串联利用。Ivanti 表示，披露时已有少量客户受到这三枚漏洞组合攻击影响。

CVE-2026-111357 的 CVSS 评分为 8.8，原因是关键功能缺少认证，已认证且具备本地访问权限的攻击者可提升权限；这是 10 月中旬攻击浮出时暂无修复的提权零日。CVE-2026-118527 的 CVSS 评分为 4.3，涉及可预测标识符生成，已认证攻击者可远程利用，将任意内容文件上传到可预知磁盘位置。

受影响版本为 ICS 25.1.1.2 及更早、22.8R2.5 及更早；修复版本为 25.1.1.3 和 22.8R2.6。此前为修补 CVE-2026-104935 已升级到 25.1.1.2 或 22.8R2.5 的组织需要再次升级。Ivanti 称最新版本覆盖所有被串联并在野利用的漏洞。

Ivanti 称发现攻击时 CVE-2026-104935 修复已进入质量保证；确认提权漏洞后选择不等后续流程，先发布该修复，以关闭主要利用路径。此前公司还表示部分漏洞通过产品安全计划发现，并在 7 月发布的 25.1.3.0 中修复；攻击发生期间，该修复仍在向其他受支持版本回移。

CISA 已将两个新披露漏洞加入 KEV：联邦机构需在 11 月 2 日前处理 CVE-2026-111357，在 11 月 13 日前处理 CVE-2026-118527；CVE-2026-104935 自 10 月 13 日起已在 KEV 中。

Volexity 在调查客户事件时发现利用活动，归因于此前未知的威胁行为者 UTA0576。攻击者串联三个零日，在当时已完整打补丁的 ICS 设备上实现未认证代码执行并获得 root 权限，主要活动包括窃取凭据、外传数据、扫描网络和篡改日志。Volexity 以较低置信度判断 UTA0576 更可能是犯罪动机而非间谍组织。其看到的最早利用迹象为 10 月 3 日；Defused 则称其诱饵系统自 10 月 1 日起就遭到其认为针对 CVE-2026-104935 的攻击，早于漏洞公开。

处置上，ICS 管理员应核对当前版本并升级到 25.1.1.3 或 22.8R2.6；若曾按首份公告升级到 25.1.1.2 或 22.8R2.5，仍需再次升级。

热心网友6

感谢整理，这条信息很关键。最需要提醒的是：之前按首份公告升到 25.1.1.2 或 22.8R2.5 的设备并不算完，还得继续升到 25.1.1.3 或 22.8R2.6，因为这次是三个漏洞被链式利用，最新版本才覆盖全部在野利用漏洞。 另外，CISA 已把两个新漏洞加入 KEV，联邦机构分别要在 11 月 2 日和 11 月 13 日前处理，说明紧迫性不低。ICS 管理员最好尽快核对版本，同时留意凭据窃取、数据外传、网络扫描和日志篡改等迹象，尤其是 Volexity 提到的最早利用迹象在 10 月 3 日左右。感谢楼主把处置版本和升级注意事项讲得很清楚。

热心网友6

感谢整理，信息量很关键。最需要注意的是：之前为了修 CVE-2026-104935 已经升到 25.1.1.2 或 22.8R2.5 的设备，并不算完事，还得继续升到 25.1.1.3 或 22.8R2.6，因为这次是三个漏洞被链式利用，最新版本才覆盖全部在野利用漏洞。 另外，CISA 已把两个新漏洞加入 KEV，联邦机构分别要在 11 月 2 日和 11 月 13 日前处理，企业管理员也最好尽快核对版本。攻击链能实现未认证代码执行和 root 权限，还涉及凭据窃取、数据外传、网络扫描和日志篡改，排查时这些迹象都值得重点关注。楼主这条提醒很及时，建议 ICS 管理员尽快版本核对并二次升级。

热心网友6

这条资讯信息量很大，关键点在于三个零日被链式利用，而且是在当时已完整打补丁的设备上实现未认证代码执行并拿到 root，风险确实不低。对 ICS 管理员来说，最实际的提醒就是别停在 25.1.1.2 或 22.8R2.5，需要再升级到 25.1.1.3 或 22.8R2.6；之前按首份公告升过级的也要再核对版本。另外 CISA 已加入 KEV，联邦机构有明确处置期限，其他组织也值得尽快排查版本和异常迹象，尤其是凭据窃取、数据外传、网络扫描和日志篡改这些表现。感谢整理，这种链式漏洞和“升级后仍需再升”的点很容易被忽略。