CVE-2026-104935CVSS 8.6认证绕过 + 任意文件写入
覆盖了漏洞链三个环节中的两个：通过 X-DSCGI-PATH 请求头绕过认证，以及 wu.cgi 中可导致代码执行的文件写入。
说人话： 门卫只认工牌不认人，而工牌的模板就贴在大门上。
Ivanti Connect Secure：打了补丁的 VPN 被拿 root，已经数不清第几回了
Ivanti Connect Secure 零日漏洞链：打满补丁的 VPN 设备又被未授权拿下 root
攻击者 UTA0576 把认证绕过、文件写入和提权串成一条链，接管了运行最新版本的 VPN 设备，随后去捞 AD 凭据、LAPS 密码和 BitLocker 密钥。CISA 当天就把它加入了 KEV。
- 披露时间
- 2026年10月13日
- 更新于 2026年10月31日
- 严重程度
- CVSS 8.8 × 1
- 本页收录 3 个 CVE
- 波及范围
- 可访问的 ICS 22.8 至 R2.5、25.1.1 至 .2 或 25.1.2 至 .2；迁移到 25.1.3 需要新平台
- ivanti
- 在野利用
- 已发现
- 10 月初起就被利用；已列入 CISA KEV
一句话说清楚
发一个魔法请求头跳过登录，借一个更新用的 CGI 写入文件，再用本地漏洞提权到 root：三步走，一个密码都不用，拿下的还是给你守内网大门的那台设备。
发生了什么
Volexity 在一台运行 22.8R2.4（当时的最新版本）的 Connect Secure 设备上发现了这名攻击者，编号 UTA0576。攻击链如下：
- 通过
X-DSCGI-PATH请求头绕过认证 - 在
wu.cgi中写入文件 → 执行代码（1 和 2 合起来就是 CVE-2026-104935，CVSS 8.6） - 在
dsinvoked中提权，这个漏洞没有公开的 CVE，披露时仍未修复
攻击者没有留 Webshell，而是每执行一条命令就重新利用一次漏洞，并篡改日志来骗过 Ivanti 内置的完整性检查工具。得手之后，它去捞 LDAP/AD 凭据、LAPS 密码和 BitLocker 密钥，并部署了具备 Kerberoasting 能力的 Kerberos 工具。报告未确立配套凭据测试脚本使用了该能力。
Volexity 有中等把握认为攻击者用 LLM 开发了攻击工具，但对它是犯罪团伙而非间谍组织只有低把握。最初审阅时无法访问 Ivanti 公告，版本列表依赖二手报道；当前经厂商核对的表格及下方更新取代了这一证据缺口。
10 月 31 日更新： 上文保留最初披露时的情况。Volexity 的 10 月 29 日更新及 Ivanti 现已确认，此前未编号的提权漏洞 CVE-2026-111357 已有补丁；Ivanti 另补充 CVE-2026-118527。CISA 于 10 月 30 日收录两者。当前表格取代此前修复阈值和“未修复”状态。厂商完整公告现已可读，确认少量客户遭到三漏洞串联利用。这不是新事件，也不代表打补丁会清除既有失陷。
马桶里有什么
CVE-2026-111357CVSS 8.8本地提权
本地已认证攻击者可提升权限，已确认存在漏洞链利用。
CVE-2026-118527CVSS 4.3可预测的上传文件名
远程已认证攻击者可将受控内容上传至已知磁盘位置。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Ivanti Connect Secure 22.8 | 22.8R2.6 | |
| Ivanti Connect Secure 25.1.1 | 25.1.1.3 | |
| Ivanti Connect Secure 25.1.3 新平台 | 25.1.3.0 | 厂商称该平台不受影响，需满足迁移条件 |
案发时间线
2026年10月1日
最早的利用活动
依据是 Defused Cyber 的蜜罐和 Volexity 的 Koessel。Volexity 的博客写的是 10月3日。
2026年10月5日
Volexity 开始调查一台被攻陷的设备
这台设备运行的是 22.8R2.4，也就是当时的最新版本。
2026年10月13日
Ivanti 发布补丁；Volexity 发布分析；CISA 将其加入 KEV
2026年10月14日
Previdian 记录到来自 50 个 IP 的 105 次利用尝试
2026年10月16日
CISA 给美国联邦机构设定的修复截止日
2026年10月29日
Ivanti 修复漏洞链中的另外两个漏洞
Volexity 将此前未编号的提权漏洞确定为 CVE-2026-111357。
2026年10月30日
CISA 将 CVE-2026-111357 和 CVE-2026-118527 加入 KEV
联邦修复截止日分别为 11 月 2 日和 11 月 13 日，前者要求取证分诊。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Volexity一手来源完整的漏洞链分析、攻击者 UTA0576、时间线、IOC
- The Hacker NewsCISA KEV 收录情况和截止日期；修复版本
- BleepingComputer报道了 Ivanti 的安全公告
- CyberScoop利用活动的背景
- Ivanti 更新后的厂商公告一手来源通过公开浏览器完整阅读 10 月 29 日更新，包括各漏洞修复版本及平台迁移条件。
- CISA KEV 原始目录一手来源
- Volexity 完整可下载指标清单一手来源