新闻
News Today
Ivanti披露零日漏洞链：已打补丁设备仍遭Root权限窃取
10月13日，Ivanti披露了影响Connect Secure、Policy Secure和Neurons for ZTS的三个安全漏洞。其中两个漏洞已在10月2日的更新中修复，但第三个提权漏洞（CVE-2026-104935）当时并未修补。在此时间窗口内，攻击组织UTA0576发起了一次针对已修补设备的零日链攻击，并成功获取Root权限。
攻击路径与检测盲区
Ivanti确认，攻击目标为一台已升级至最新版本22.8R2.4的设备。攻击者利用互联网暴露的认证绕过漏洞、任意代码执行漏洞以及未修复的提权漏洞，三步组合拿下系统最高权限。这意味着，即便用户在10月2日第一时间安装了补丁，依然面临被攻破的风险。
此外，Ivanti完整性检查工具（ICT）未能检测出异常。由于攻击者的修改仅在内存中进行，未在磁盘落地文件，而ICT主要检测磁盘文件篡改，因此内存态攻击处于其检测盲区。当前ICT显示“干净”的结果已不可完全信赖。
横向渗透与CISA紧急响应
取证数据显示，攻击活动最早可追溯至10月3日。获取权限后，攻击者有针对性地窃取LDAP和Active Directory凭证，搜索LAPS密码及BitLocker恢复密钥，并实施密码喷射。此举旨在通过边缘设备横向渗透至内网域，为后续的勒索或数据窃取铺平道路。
鉴于风险紧迫，CISA于10月13日将相关漏洞列入已知被利用漏洞（KEV）目录，并要求联邦机构在10月16日前完成修复。
受影响版本与缓解措施
受影响版本：25.1.1.1及更早、25.1.2.2及更早、22.8R2.4及更早版本。
修复版本：22.8R2.5、25.1.1.2、25.1.3.0和25.1.3.1。
排查建议：除立即升级外，建议检查以下IOC指标：异常的/dana-na/auth/url_default/welcome.cgi访问记录、可疑的X-DSCGI-PATH HTTP头、设备上的/data/.icscap/目录，以及与恶意IP 108.165.147.64的出站连接。
此次事件警示运营团队，边缘设备暴露在公网极易成为攻击首选，厂商分批修复的窗口期往往是防御最脆弱的时刻，“已打补丁”并不等同于绝对安全。
来源：Ivanti 官方安全公告