CISA 要求联邦机构限期修复 Ivanti Connect Secure 在野漏洞

美国网络安全和基础设施安全局（CISA）已将 Ivanti Connect Secure 的两个漏洞 CVE-2026-111357 和 CVE-2026-118527 列入已知被利用漏洞目录，要求美国联邦民事机构限期修复，并在打补丁后开展取证排查，确认设备是否已被入侵。

据披露，这两个漏洞曾与另一个认证绕过及远程代码执行漏洞 CVE-2026-104935 组合，作为零日漏洞被利用，攻击者借此把 SSL VPN 设备变成进入目标组织网络的落脚点。Ivanti 已修复全部三个漏洞。

三个漏洞如何被串联

此次被列入已知利用漏洞目录的两个漏洞性质不同。CVE-2026-111357 属于关键功能缺少身份认证的漏洞，本地已认证攻击者可借此提升权限；CVE-2026-118527 则是“可预测数字或标识符生成”类漏洞，使远程已认证的文件上传成为可能。

Ivanti 已修复全部三个漏洞，并在更新早前的安全公告时补充了相关细节。

攻击者的活动痕迹

据发现此次攻击并向 Ivanti 报告的 Volexity 研究人员介绍，攻击者是在隐蔽地将 SSL VPN 设备转化为受害组织网络中的据点。研究人员表示，由于行动被发现并遭阻断，威胁行为者的最终目标无法确定，但 Volexity 以较高置信度评估，UTA0576 的举动表明其在为横向移动和更大范围的网络入侵做准备。

Rapid7 研究人员则指出，攻击者实施了凭据窃取，并查询 Active Directory 以获取 Windows LAPS 密码和 BitLocker 恢复密钥。Volexity 还公布了与该攻击活动相关的入侵指标清单以及可用的 YARA 规则。

CISA 的修复期限

CISA 在上周五将这两个漏洞加入已知被利用漏洞目录。按照要求，美国联邦民事机构须在 2026 年 11 月 2 日前处理 CVE-2026-111357，CVE-2026-118527 的期限则为 11 月 13 日。

除限期修复外，CISA 还要求相关机构开展取证排查，调查设备是否可能已被入侵。使用 Connect Secure SSL VPN 设备的客户被建议安装 Ivanti 提供的更新。

打补丁后的排查建议

Rapid7 建议在打补丁之后继续开展入侵排查。该公司援引 Volexity 的报告指出，已观察到的活动能够规避 Ivanti 的完整性检查工具，因此检查结果干净并不能排除设备已被入侵。

Rapid7 还建议，在条件允许的情况下，应在重启或重置之前保留内存和日志；若怀疑遭到入侵，应遵循 Ivanti 的恢复步骤，并轮换可能已暴露的凭据。该公司同时提供了威胁狩猎方面的指引。

要点

• CISA 将两个 Ivanti 漏洞列入已知被利用漏洞目录
• 两个漏洞曾与 CVE-2026-104935 组合作为零日利用
• CVE-2026-111357 修复期限为 2026 年 11 月 2 日
• CVE-2026-118527 修复期限为 2026 年 11 月 13 日
• Volexity 称相关活动可绕过 Ivanti 完整性检查工具