攻击者串联三个 Ivanti Connect Secure 漏洞获取未授权 root 权限

安全研究人员披露，攻击者将 Ivanti Connect Secure 的三个漏洞串联利用，可在未授权情况下获得 root 级代码执行权限。美国网络安全和基础设施安全局（CISA）已将其中两个已被实际利用的漏洞加入其已知被利用漏洞（KEV）目录。

漏洞串联利用方式

安全研究人员披露的利用链条显示，攻击者并非依赖单一漏洞，而是把 Ivanti Connect Secure 上的三个漏洞依次串联，最终在未授权的情况下取得 root 级代码执行能力。这一组合意味着攻击者无需先获得合法账户或有效凭据，就能从外部推进到设备最高权限层面。

从危害程度看，root 级代码执行意味着攻击代码可以以设备最高权限运行，对设备的配置、运行环境与所承载的数据形成直接控制能力。来源未披露三个漏洞各自的编号、技术类型与具体触发条件，也未说明串联过程中各环节的先后依赖关系。

值得注意的是，三个漏洞中只有两个被确认已在实际攻击中被利用，CISA 也正是针对这两个漏洞采取了目录收录动作。第三个漏洞在链条中的作用，来源同样没有给出进一步说明。

KEV 目录用于标记那些已在真实攻击中被利用的漏洞，收录本身即表明相关漏洞的风险已从理论层面转为现实威胁。

来源没有说明 CISA 此次收录的具体日期、漏洞编号，也没有提及是否同步发布相关处置指令或给出修复时限要求。就已明确的信息看，CISA 的动作集中在把这两个已被利用的漏洞纳入统一跟踪范围。

对于使用 Ivanti Connect Secure 的机构而言，被列入 KEV 目录通常意味着该漏洞应被优先纳入修补计划。来源未提供 CISA 对这两个漏洞的进一步说明或附加建议。

此次事件涉及的产品为 Ivanti Connect Secure，这是一类常被部署在网络边界、用于远程接入的设备。此类设备一旦被取得 root 权限，攻击者便可能长期驻留于网络入口位置，因此漏洞串联利用的风险并不局限于单台设备本身。

来源明确的信息是：三个漏洞可被串联，且其中两个已在真实攻击中被利用，攻击结果达到未授权 root 级代码执行。除此之外，来源没有披露受影响的具体版本范围、受影响的组织数量、攻击者身份，也没有说明是否存在数据外泄或已确认的受害案例。

从攻击路径看，未授权这一特征降低了利用门槛：攻击者不需要预先掌握有效凭据即可发起尝试。这也解释了为何相关漏洞在被实际利用后迅速进入监管机构的关注范围。

基于来源已确认的事实，使用 Ivanti Connect Secure 的机构应优先核对自身设备是否处于受影响范围，并关注 CISA KEV 目录中这两个已被利用漏洞的收录情况，将其作为修补优先级的参考依据。

由于攻击者采用的是多漏洞串联方式，仅修补其中单个漏洞可能不足以阻断整条利用链。机构在排查时宜同时确认三个漏洞的修补状态，而不是只处理已被列入 KEV 目录的两个。

来源未给出厂商的官方补丁发布时间、临时缓解措施或检测规则，也未提供攻击指标。在缺少这些信息的情况下，机构可依据自身资产清单先行梳理 Ivanti Connect Secure 的部署位置与暴露面，为后续处置留出空间。