Ivanti Connect Secure：三个漏洞自 10 月起遭攻击利用，请尽快更新并排查入侵

发生了什么

Ivanti Connect Secure 是一款VPN 设备让员工从外部连入公司网络的服务器；它直接暴露在互联网上，因此很受攻击者青睐，企业和政府机构都在使用。2026 年 10 月 13 日，CISA 将第一个漏洞 CVE-2026-104935 列入其已知被利用漏洞目录CISA 公开的清单，收录有证据表明已被用于真实攻击的漏洞，并敦促各机构修补。10 月 30 日，CISA 更新了这份警报，又加入了 CVE-2026-111357 和 CVE-2026-118527。Ivanti 于 11 月 3 日发布了后者的 CVE 记录。

CISA 表示，这几个漏洞结合起来，可以在无需认证的情况下远程执行任意命令，攻击者正用它们窃取凭据、外传数据。关于技术细节，CISA 推荐参考 Volexity 对这批零日漏洞厂商还没有修复时就已被攻击者利用的漏洞串联利用攻击者按顺序组合多个较小的漏洞，每一个都为下一步打开大门的研究。

三个漏洞

第一个是认证绕过。Ivanti 的 CVE 记录称，在 25.1.3.0 之前的版本中，未登录的远程攻击者可以执行任意命令。Ivanti 给出的 CVSS 3.1 评分为 8.6。

第二个可以让攻击者获得 root 权限，即设备上的最高控制权。这条记录由 MITRE 撰写，指出 dsinvoked 组件错误地信任了 DSCache 配置数据，并且该漏洞“已于 2026 年 10 月在实际中被利用”。其攻击向量为本地，这符合攻击者已进入系统后才使用的一步。

第三个允许已经通过认证的攻击者，把内容由自己控制的文件上传到磁盘上一个可预测的位置。单看它 4.3 的 CVSS 评分并不高。但在攻击链中，能可靠地把文件放到预期位置，可能正是缺失的那一环，CISA 也将其列为已被利用。

该装哪个版本

几处来源的说法并不完全一致。CISA 的警报列出的受影响版本是 Connect Secure 25.1.1.2 及更早、25.1.2.2 及更早，以及 22.8R2.5 及更早。CVE 记录则显示，CVE-2026-118527 在 25.1.1.3 和 22.8R2.6 中已修复；25.1.3.0、25.1.3.1 和 22.8R2.5 不受 CVE-2026-104935 影响。CVE-2026-111357 的记录没有给出修复版本。

请以下方来源中 Ivanti 自己的公告为准确定版本号，并安装你所在分支的最新版本。CISA 还提醒，Connect Secure 22.8 将于 2027 年 1 月 31 日结束支持，请尽早规划迁移。

现在该怎么做

1. 按照 Ivanti 针对硬件或虚拟设备的升级指南，把设备更新到公告中的最新版本。
2. 检查是否已经被入侵。CISA 提醒，由于攻击者的命令在内存中运行，Ivanti 的 Integrity Checker Tool 可能检测不到对 CVE-2026-104935 的利用。CISA 建议做网络和内存取证。
3. 如果怀疑已被入侵，先备份配置，再把设备恢复出厂设置并升级；虚拟机和云端实例应重建，最后恢复配置。
4. 重置所有使用过该设备的账号密码，吊销并重新签发设备上保存的证书，并更换保存的 API 密钥和许可证服务器凭据。

尚不清楚的信息

CISA 没有公布攻击者身份，也没有说明有多少机构受害。我们没有找到公开的概念验证代码，攻击链的细节来自 Volexity 的研究，而不是 Ivanti。如果 Ivanti 或 CISA 公布更多信息，我们会更新本文。

同一时期还有其他漏洞遭到利用。我们对 CISA 10 月 26 日至 29 日清单的汇总中，有一个思科防火墙 VPN 漏洞同样针对远程访问；而已遭利用的 WordPress 升级漏洞则展示了另一种攻击窗口。