軟體供應商 Ivanti 於 10 月 13 日發布公告，警告旗下 SSL VPN 產品 Connect Secure（ICS）存在遭實際利用的零時差漏洞
CVE-2026-104935（CVSS 8.6）。資安業者 Volexity 發現，駭客串連該漏洞與另外兩個漏洞，在已更新至當時最新版本的設備上取得 root 權限。美國網路安全暨基礎設施安全局（CISA）已將其列入已知遭利用漏洞（KEV）目錄，要求聯邦文職機關於 10 月 16 日前處理。
影響三個版本系列，Ivanti 稱受害客戶有限
CVE-2026-104935 涵蓋驗證繞過（authentication bypass）與遠端程式碼執行（RCE）兩項弱點，遠端且未經驗證的攻擊者可藉此在設備上執行任意指令。
受影響版本包括 ICS 22.8R2.4 及更早版本、25.1.2.2 及更早版本，以及 25.1.1.1 及更早版本。
Ivanti 表示，漏洞揭露時已知僅有限客戶受害，並建議用戶立即採取行動。據外媒報導，Ivanti 也說明，公司先前已自行發現此漏洞的一部分，並在 7 月發布的 25.1.3.0 版修補，但仍在將修補程式移植到其他版本時，攻擊就已發生。CISA 則指出，攻擊者利用此漏洞竊取認證資訊並外傳資料。
三個漏洞串連，權限提升漏洞尚待修補
Volexity 指出，10 月 5 日調查客戶網路中的可疑活動時，追查到一台 ICS 設備，確認其已更新至當時最新的 22.8R2.4。鑑識結果顯示，駭客自 10 月 3 日起反覆利用一組零時差攻擊鏈，包括 welcome.cgi 的驗證繞過、wu.cgi 的檔案寫入，以及 dsinvoked 服務處理 DSCache 組態資料時的權限提升，最終取得 root 權限。威脅情資公司 Defused 則表示，最早確認的攻擊活動出現在 10 月 1 日。
前兩項弱點由 CVE-2026-104935 涵蓋，Ivanti 已於 10 月 13 日釋出修補。第三項權限提升漏洞仍在開發修補程式，預計未來數週內釋出。
不留後門、清除日誌，完整性檢查工具偵測不到
Volexity 表示，駭客並未植入惡意程式或網頁後門（web shell），而是每執行一個指令，就重新跑一次整個攻擊鏈。駭客也刪除除錯日誌與 Linux 稽核日誌中的相關紀錄，不過這些清除動作實際完成的程度，Volexity 尚未完全確認。
Ivanti 提供的完整性檢查工具（Integrity Checker Tool）用於找出磁碟上的異常檔案修改。但此攻擊鏈只在記憶體中修補函式庫程式碼，並還原組態資料，因此該工具偵測不到任何變動。Volexity 強調，必須進行網路與記憶體鑑識，才能確認設備是否遭入侵。
聚焦認證資訊竊取，動機判斷為低信心度
Volexity 將這個先前未知的駭客組織命名為
UTA0576，觀察到其專注於竊取認證資訊、外傳資料、竄改日誌與網路偵察。具體行動包括取出設備上儲存的網域認證資訊、匯出部分 Active Directory 中繼資料，並部署可執行 Kerberoast 攻擊的自製工具。駭客還搜尋本機管理員密碼（LAPS）與 BitLocker 復原金鑰，並擷取 LDAP 流量。
Volexity 以低信心度評估，該組織的動機偏向犯罪，而非間諜活動。由於攻擊在早期遭偵測並中斷，最終目的無法確定，但 Volexity 高度確信這些行動是在為橫向移動與擴大入侵做準備。
建議措施
- 依 Ivanti 公告升級至最新版本。ICS 22.8 將於 2027 年 1 月 31 日終止支援，CISA 建議參考 Ivanti 的升級與遷移相容性指南。
- 不要只依賴完整性檢查工具。懷疑遭入侵時，應進行網路與記憶體鑑識，並比對 Volexity 公布的入侵指標（IOC）。
- 若確認遭入侵，CISA 建議備份組態後原廠重設並升級（雲端與虛擬環境則重建），再還原組態，並重設所有帳號密碼、撤銷並重發憑證。
本文轉載自 BleepingComputer、The Record、The Hacker News、Help Net Security。