2026-10-16 13:48:38 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

(9.3分) CVE-2026-104935：Ivanti VPN未授权RCE

红队安全圈
红队安全圈

红队安全圈

2026年10月14日 09:48
重庆

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

远程未认证直接拿命令执行，已确认在野利用，CISA 给的修复窗口只有三天。

Ivanti Connect Secure（ICS）爆出身份认证绕过漏洞 CVE-2026-104935：远程未认证攻击者伪造凭据即可在设备上执行任意命令，无需任何账号。该漏洞已被确认在野利用，CISA 于 10 月 13 日将其纳入 KEV 目录，联邦机构限期 10 月 16 日前完成修复——窗口只有三天，这个紧迫程度本身就说明了问题。

ICS 是企业远程访问的 VPN 网关，直接暴露在公网上做身份认证，历史上就是勒索团伙和 APT 的重点打点对象。这次又是认证环节被绕过，影响面可想而知。

01 漏洞速览

漏洞编号CVE-2026-104935

影响产品Ivanti Connect Secure（ICS）

漏洞类型认证绕过（CWE-290）→ 任意命令执行

危害等级Critical（CVSS 9.3）

在野利用已确认

公开 PoC暂无

攻击前提仅网络可达，无需任何凭据

02 漏洞成因

根因是 CWE-290 身份认证绕过：ICS 在认证流程中信任了客户端可伪造的信息，攻击者通过欺骗手段让设备把伪造凭据当成合法会话，从而绕过登录直接拿到执行上下文，最终在设备上执行任意命令。

值得一提的是，Ivanti 在 7 月的 25.1.3.0 版本里其实已经修了一部分，但当时没有意识到问题的完整边界，剩余部分是这次事件曝光后紧急回移（backport）到各分支的——换句话说，打了 7 月补丁的设备也未必安全。详细技术细节厂商暂未公开，现阶段没有可靠的利用特征，只能靠升级解决。

03 影响范围

受影响分支与对应修复版本如下：

22.8.X 过渡线22.8R2.4 及更早 → 升级 22.8R2.5

ISA6000/800025.1.1.1 → 升级 25.1.1.2

25.1.2.x 线25.1.2.2 及更早 → 升级 25.1.3.0/25.1.3.1

22.7.X 及更早版本不受影响。注意：22.8.X 只是向 25.1 过渡的临时桥接版本，如果还停在这条线上，要么升 22.8R2.5，要么直接迁到 25.1.1.2。

04 利用分析

目前没有公开 PoC 和详细利用步骤，属于速递推演：认证绕过发生在设备自身的认证逻辑里，攻击路径大概率是对公网可达的 VPN 网关接口发送特制请求，伪造认证凭据骗过设备，绕过登录后在设备上下文执行命令。ICS 是网络层设备，拿到命令执行基本等于拿下 VPN 内网入口——后续可以直接进入受害者的内网横向。

不需要任何凭据、不需要用户交互、CVSS 攻击复杂度低，三个条件叠在一起，正是 Ivanti 设备历史上反复被大规模利用的配方（参考 2023/2024 年的连环事件）。在野利用已确认，公开 PoC 大概率只是时间问题。

05 检测与排查

厂商明确表示目前没有可靠的 IOC（入侵指标），没有可直接用的扫描签名，只能从资产和日志两头下手：

确认 ICS 版本是否在受影响范围

curl -sk https://vpn.target/dana-na/

auth/url\_default/welcome.cgi \

| grep -i version

版本比对比指纹扫描更可靠：受影响的是 22.8R2.4 及更早、25.1.1.1（ISA6000/8000）、25.1.2.2 及更早。管理后台直接看系统版本最准。

日志侧重点排查：近 30 天内 ICS 设备上来源 IP 异常的认证成功记录、非工作时段的管理操作、以及认证日志中凭据字段异常的请求。既然是认证绕过，被利用过的设备日志里大概率会有看似正常但来源可疑的会话。

06 修复建议

立即升级：按分支升级到 22.8R2.5 / 25.1.1.2 / 25.1.3.0（或 25.1.3.1）
升级前先留存日志和系统镜像，方便事后排查是否已被入侵
按 Ivanti 恢复指引排查失陷迹象（没有现成 IOC，靠日志和行为）
尽可能收敛 ICS 管理接口和网关接口的网络访问面
注意一个坑：迁移到 25.1.3.0 需要 ISA4500/6500/8500 新硬件，或用新模板重建虚机/云实例。来不及做硬件迁移的，先打 22.8R2.5 或 25.1.1.2 的过渡修复