报价宝综合消息企业VPN曝在野利用零日漏洞 CISA急催修复
企业级VPN产品Ivanti Connect Secure曝出正在被攻击者利用的零日漏洞。Ivanti于10月13日发布安全公告，确认该漏洞此前已遭到在野利用。漏洞编号CVE-2026-104935，属于身份验证绕过缺陷，CVSS评分为8.6，允许远程未认证攻击者在网关设备上执行任意命令。Ivanti证实，在披露之前已有少量客户遭到利用。美国网络安全与基础设施安全局（CISA）当天即将其列入"已知被利用漏洞"（KEV）目录。安全公司Volexity的调查还原了完整攻击链：一个被追踪为UTA0576的威胁行为者从10月3日起反复攻击一台补丁齐全的22.8R2.4版本设备，将这个认证绕过漏洞与另一个尚未修复的本地提权漏洞组合，直接拿到服务器根权限，进而窃取域凭据，并在活动目录中搜索LAPS密码与BitLocker恢复密钥。更棘手的是取证难度：攻击者不向磁盘投放文件、不留Webshell，所有命令都通过HTTPS请求传递，还会篡改内存中的代码、恢复被改动的系统数据并删除相关日志，导致Ivanti自带的完整性检查工具无法可靠地发现入侵迹象。受影响版本包括25.1.1.1及更早、25.1.2.2及更早、22.8R2.4及更早，Ivanti已发布25.1.1.2、25.1.3.0与25.1.3.1以及22.8R2.5修复版本；攻击链中那个提权漏洞的补丁仍需等待后续发布。CISA敦促受影响机构立即升级，并对可疑设备开展网络与内存取证。Connect Secure在2024年与2025年都曾被零日攻击，一直是高价值攻击目标。
编译自 Volexity，原标题："A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days"
