Ivanti 修复已遭利用的 Connect Secure 0day 漏洞链

CVE-2026-111357 是一个高危权限提升漏洞，CVE-2026-118527 则允许已认证攻击者在未修复的设备上上传文件。当 Ivanti 在 10 月发布 CVE-2026-104935 的补丁时，曾敦促管理员尽快升级，因为该公司已知悉该漏洞存在“有限的在野利用”情况。

Ivanti 在上周四更新的公告中补充表示：“在发现漏洞被利用时，Ivanti 已为 CVE-2026-104935 开发了修复程序，该修复程序已进入受支持版本的质量保证阶段。当发现本地权限提升漏洞时，我们决定不推迟向客户提供解决主要利用路径的修复程序。因此，我们最初的重点是披露 CVE-2026-104935 并尽快为客户提供保护措施。”

发现该漏洞的网络安全公司 Volexity 当时报告称，某威胁行动组织至少从 10 月 3 日起就在组合利用 CVE-2026-104935 与另外两个漏洞，以便在完全修复的 ICS 设备上获得未认证的 root 级代码执行权限。Volexity 公司表示，值得注意的是，该威胁组织没有部署任何恶意软件或 Web Shell，而是每执行一条命令都会重新利用设备，并篡改日志以掩盖踪迹，从而规避了 Ivanti 的完整性检查工具。

威胁情报公司 Defused 也证实了 Volexity 的报告，称其发现早在10月1日开始， CVE-2026-104935 就遭活跃利用。周二，美国网络安全和基础设施安全局（CISA）将 CVE-2026-104935 列入已知被利用漏洞目录 KEV，并要求联邦机构在周五之前修复系统。

互联网威胁监测机构 Shadowserver 目前追踪到超过 5000 个暴露在互联网上的 ICS 实例，但并未有信息表明其中有多少示例已针对持续攻击进行加固。

威胁行动组织经常针对 Ivanti 漏洞发起攻击，且往往以 0day 攻击的形式进行，因为利用这些漏洞能快速进入企业网络，窃取敏感的企业和客户数据。过去几年中，Ivanti 修复了多个在野遭利用的 Connect Secure 0day漏洞，其中一些被组合用于大规模攻击活动以部署恶意软件。该公司于 2024 年 1 月初修复了一个命令注入漏洞（CVE-2024-21887）和一个认证绕过漏洞（CVE-2023-46805），两周后又修复了一个服务端请求伪造漏洞（CVE-2024-21893）。Ivanti 于 2025 年 1 月修复了两个RCE漏洞（CVE-2025-0282和CVE-2025-22457）。

Ivanti 拥有3000 多名员工、7000 多家合作伙伴网络，全球超过 40000 家客户在使用其IT 资产管理解决方案。自 2021 年 11 月以来，CISA 已将 38 个 Ivanti 漏洞标记为遭在野积极利用，其中 12 个还被用于勒索软件攻击。