【已复现】Ivanti Connect Secure 未认证 RCE 与提权漏洞链（CVE-2026-104935）

漏洞成因

经分析，Ivanti Connect Secure 在处理前端请求与后端脚本处理程序之间的路由关系时校验不充分。攻击者可以构造请求，使其目标处理程序与请求被允许访问的处理程序不一致，从而绕过身份认证，访问本应要求登录的后端脚本处理逻辑。

在获得认证绕过能力后，攻击者还可利用内部上传处理逻辑中文件写入与校验、清理之间的时序缺陷写入脚本，从而在设备上以 Web 服务进程权限执行任意代码。上述认证绕过与远程代码执行缺陷由 CVE-2026-104935 跟踪。

攻击者在获得代码执行能力后，可进一步利用设备上以 root 权限运行的后台维护服务对共享配置数据处理不当的缺陷提升权限，最终获得 root 权限。该权限提升缺陷为利用链中的独立漏洞，截至通告发布，官方仍在修复中。

漏洞影响

成功利用该漏洞链的攻击者可在未授权的情况下，在 Ivanti Connect Secure 设备上以 root 权限执行任意代码。

由于此类设备承载远程接入与身份认证功能，且通常位于企业网络边界，攻击者可能借此窃取设备上保存的域凭据、读取目录服务信息、嗅探经过设备的明文协议流量，并以此为跳板向内部网络横向移动。公开信息显示，在已披露的在野攻击活动中，攻击者主要围绕凭据窃取、目录服务信息收集、流量嗅探与日志清理展开操作。

此外，相关攻击以内存操作为主并伴随设备侧日志清理，设备自带的完整性检查工具可能无法发现入侵痕迹，实际影响范围与数据泄露情况需结合完整取证确认。

处置优先级：高

Ivanti Connect Secure 22.8R2.4 及更早版本（22.8.X 版本）

Ivanti Connect Secure 25.1.1.1（ISA6000、ISA8000 硬件平台）

Ivanti Connect Secure 25.1.2.2 及更早版本

升级修复方案

截至通告发布，Ivanti 已发布针对 CVE-2026-104935 的修复版本，建议升级至对应分支的安全版本或更高版本：

• 22.8.X 分支：升级至 22.8R2.5

• 25.1.1.1（ISA6000、ISA8000）：升级至 25.1.1.2

• 25.1.2.2 及更早版本：升级至 25.1.3.0 或 25.1.3.1

官方安全公告与升级指引：https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US

运行 22.7.X 及更早版本的用户不受该漏洞影响。升级至 25.1.3.0 需要配套的 ISA4500、ISA6500 或 ISA8500 硬件，或使用新模板重建虚拟化、云环境设备；暂不具备迁移条件的用户，可先升级至 22.8R2.5 或 25.1.1.2 作为过渡。

需要说明的是，利用链中的权限提升组件为独立漏洞，截至通告发布官方仍在修复中，将在后续版本中提供修复。

临时缓解方案

以下措施为应急临时方案，可能影响业务功能，升级完成后应及时移除。

• 尽可能收敛网络暴露面，限制对设备管理接口与网关接口的访问，仅放通必要的可信来源。

• 在实施变更前保留设备日志与系统镜像，避免证据丢失。

• 加强对设备异常行为的监测，重点关注源自 VPN 设备的横向移动迹象与异常认证请求。

• 由于本次利用以内存操作为主，设备自带完整性检查工具可能无法发现痕迹；怀疑设备已被入侵时，应开展网络与内存取证，并按官方恢复指引处置。

长亭安全应急响应中心已完成复现验证。

云图：默认支持该产品的指纹识别，同时支持该漏洞的PoC检测

洞鉴：预计 2026.10.16 发布应急POC

无锋：默认支持该产品的指纹识别，同时支持该漏洞的PoC检测

全悉：预计 2026.10.16 发布更新包支持该漏洞利用行为的检测

雷池：预计 2026.10.16 发布自定义规则支持该漏洞利用行为的检测

2026 年 10 月 15 日 长亭安全应急响应中心发布通告

长亭应急响应服务