Ivanti Connect Secure 严重漏洞遭利用，可绕过认证执行远程代码

安全媒体披露，Ivanti Connect Secure VPN 设备中的一个严重漏洞正被攻击者实际利用。该漏洞编号为 CVE-2026-104935，CVSS 评分为 8.6，攻击者无需凭据、无需用户交互即可绕过认证并执行远程代码。

报道称，威胁组织 UTA0576 将该漏洞与另一个提权漏洞组合使用，以获取设备的 root 权限。Ivanti 已为 CVE-2026-104935 发布补丁，但提权漏洞目前仍未修复。

漏洞基本情况

根据 Smarter MSP 的报道，漏洞存在于 Ivanti Connect Secure VPN 设备中，攻击者无需任何凭据、也无需用户交互，即可绕过认证并执行远程代码。这意味着未打补丁的设备在暴露于网络的情况下，可能被直接远程入侵，而不必先获得合法账号。

受影响对象是运行 Ivanti Connect Secure 的 VPN 设备，这类设备通常部署在企业网络边界，承担远程接入职能。报道将该漏洞描述为可导致未授权访问与命令执行的高严重性问题，并指出已有实际利用活动，而非仅停留在理论风险层面。

报道称，威胁组织 UTA0576 正在利用这一认证绕过漏洞，并将其与另一个单独的提权漏洞组合使用，形成完整的攻击链。认证绕过使攻击者得以进入设备，提权漏洞则被用来进一步获取 root 权限。

在获得执行能力后，攻击链还包含恶意代码执行、权限提升以及规避检测等环节。报道提到，攻击者通过内存中执行和反取证技术来降低被发现的可能性，这使得仅依靠传统文件层面的检测手段可能难以及时识别相关活动。

值得注意的是，这两个漏洞的修复状态并不一致：Ivanti 已为 CVE-2026-104935 发布补丁，但报道明确指出，配套的提权漏洞目前仍未修复。对于已经打上认证绕过补丁的设备而言，攻击面有所收窄，但组合利用的风险并未完全消除。

报道指出，一旦利用成功并获得 root 级访问权限，攻击者可能实施凭据窃取、未经授权的网络访问、数据外泄，以及对内部系统的进一步入侵。由于 VPN 设备处于网络入口位置，其被攻陷可能为攻击者向内网横向移动提供条件。

这些后果并非彼此孤立：凭据窃取可被用于扩大访问范围，网络访问与数据外泄则可能同时发生。报道未披露具体受害组织数量、行业分布或已确认的数据损失情况，也未给出利用活动的时间线细节。

报道认为，这一状况提高了运行受影响设备组织的紧迫性，建议立即应用安全更新，并着手规划从旧版本迁移。

报道同时提到，相关组织应就遗留版本制定迁移计划，而非仅依赖单次补丁。对于仍在使用受影响 Ivanti Connect Secure 设备的单位，报道给出的方向是尽快完成更新并减少对旧版本的长期依赖。

报道未提供 Ivanti 的进一步声明、漏洞披露时间或 UTA0576 的背景归属信息，也未说明提权漏洞的具体编号与预计修复时间。