Ivanti 修复已遭利用的 Connect Secure 0day 漏洞链

Sergiu Gatlan
Sergiu Gatlan

代码卫士

2026年11月3日 11:40
北京

去阅读

  聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Ivanti发布安全更新，修复了另外两个Connect Secure (ICS)远程访问网关漏洞（CVE-2026-111357和CVE-2026-118527）。它们至少从10月1日起就已遭利用，并被指与Ivanti上个月就已修复的认证绕过漏洞(CVE-2026-104935)构成利用链。

CVE-2026-111357 是一个高危权限提升漏洞，CVE-2026-118527 则允许已认证攻击者在未修复的设备上上传文件。当 Ivanti 在 10 月发布 CVE-2026-104935 的补丁时，曾敦促管理员尽快升级，因为该公司已知悉该漏洞存在“有限的在野利用”情况。

Ivanti 在上周四更新的公告中补充表示：“在发现漏洞被利用时，Ivanti 已为 CVE-2026-104935 开发了修复程序，该修复程序已进入受支持版本的质量保证阶段。当发现本地权限提升漏洞时，我们决定不推迟向客户提供解决主要利用路径的修复程序。因此，我们最初的重点是披露 CVE-2026-104935 并尽快为客户提供保护措施。”

发现该漏洞的网络安全公司 Volexity 当时报告称，某威胁行动组织至少从 10 月 3 日起就在组合利用 CVE-2026-104935 与另外两个漏洞，以便在完全修复的 ICS 设备上获得未认证的 root 级代码执行权限。Volexity 公司表示，值得注意的是，该威胁组织没有部署任何恶意软件或 Web Shell，而是每执行一条命令都会重新利用设备，并篡改日志以掩盖踪迹，从而规避了 Ivanti 的完整性检查工具。

威胁情报公司 Defused 也证实了 Volexity 的报告，称其发现早在10月1日开始， CVE-2026-104935 就遭活跃利用。周二，美国网络安全和基础设施安全局（CISA）将 CVE-2026-104935 列入已知被利用漏洞目录 KEV，并要求联邦机构在周五之前修复系统。

互联网威胁监测机构 Shadowserver 目前追踪到超过 5000 个暴露在互联网上的 ICS 实例，但并未有信息表明其中有多少示例已针对持续攻击进行加固。

威胁行动组织经常针对 Ivanti 漏洞发起攻击，且往往以 0day 攻击的形式进行，因为利用这些漏洞能快速进入企业网络，窃取敏感的企业和客户数据。过去几年中，Ivanti 修复了多个在野遭利用的 Connect Secure 0day漏洞，其中一些被组合用于大规模攻击活动以部署恶意软件。该公司于 2024 年 1 月初修复了一个命令注入漏洞（CVE-2024-21887）和一个认证绕过漏洞（CVE-2023-46805），两周后又修复了一个服务端请求伪造漏洞（CVE-2024-21893）。Ivanti 于 2025 年 1 月修复了两个RCE漏洞（CVE-2025-0282和CVE-2025-22457）。

Ivanti 拥有3000 多名员工、7000 多家合作伙伴网络，全球超过 40000 家客户在使用其IT 资产管理解决方案。自 2021 年 11 月以来，CISA 已将 38 个 Ivanti 漏洞标记为遭在野积极利用，其中 12 个还被用于勒索软件攻击。

代码卫士试用地址：https://sast.qianxin.com/

开源卫士试用地址：https://oss.qianxin.com/

推荐阅读

Ivanti 紧急修复暴露敏感数据的严重 Xtraction 漏洞

Ivanti 提醒注意已遭利用的 EPMM 高危漏洞

CISA：须在周日前修复已遭利用的 Ivanti EPMM 漏洞

Ivanti Endpoint 管理器漏洞可导致远程攻击者泄露任意数据

Ivanti 提醒注意已遭利用的两个 EPMM 漏洞

原文链接

https://www.bleepingcomputer.com/news/security/ivanti-patches-two-more-connect-secure-zero-days-chained-in-attacks/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

 觉得不错，就点个 “在看” 或 \"赞”