关注 Ivanti 已披露 CVE-2026-104935，这是 Ivanti Connect Secure (ICS) 中一个被积极利用的高危漏洞。该漏洞的 CVSS 评分为 8.6，允许未经认证的攻击者绕过认证并在易受攻击的 VPN 设备上执行任意命令。
在 Volexity 调查了一台已完全修补的 Ivanti Connect Secure 设备后，该漏洞被曝光。被追踪为 UTA0576 的未知威胁行为者将 CVE-2026-104935 涵盖的认证绕过和远程代码执行与一个单独的权限提升零日漏洞结合起来，实现了未经认证的 root 级命令执行。
观察到的活动展示了与面向互联网的 VPN 基础设施中的漏洞相关的安全风险。在获得根权限后，攻击者将目标对准凭证、Active Directory 数据、LAPS 密码、BitLocker 恢复密钥和其他可以支持攻击更深层到受害者环境的敏感信息。
Ivanti 在 2026 年 10 月 13 日证实其了解野外有限的攻击利用，并敦促运行受影响版本的组织立即采取行动。随后，CISA 将该漏洞添加到其已知利用漏洞目录中。
安全团队可以利用 SOC Prime 的 AI-Native Detection Intelligence 平台加速对新兴威胁的调查，并在 SIEM、EDR、XDR 和数据湖环境中操作化检测内容。
Prime Architect 可以通过将新兴威胁情报转化为检测逻辑、狩猎查询和环境特定规则来进一步协助检测工程师，而 Prime Hunt 支持跨组织遥测的回顾性调查。
CVE-2026-104935 分析
CVE-2026-104935 影响特定版本的 Ivanti Connect Secure，并结合了攻击者用于从未经认证的网页请求转移到在 cgi-server 账户上下文中执行任意代码的两个弱点。
该漏洞被归类为 CWE-290 下的通过欺骗进行的认证绕过。根据 Ivanti 的说法，该问题可以在没有凭证或用户交互的情况下远程利用，其 CVSS 评分为 8.6。
Volexity 重新构建了利用链，同时调查运行 Ivanti Connect Secure 22.8R2.4，构建 19097 的设备。设备在 2026 年 10 月 3 日发现恶意活动时被认为完全修补。研究人员从 10 月 5 日开始调查事件，并随后与 Ivanti 一起分析了受影响系统的内存、磁盘映像和核心转储。
第一个阶段滥用了与公开可访问的 /dana-na/auth/url_default/welcome.cgi 端点相关的请求路由行为。攻击者可以提供一个指向通常需要身份验证的 CGI 资源的 X-DSCGI-PATH HTTP 头。
安全决定基于公共 URL，而头文件控制接收请求的实际脚本。这种不一致允许攻击者将未经认证的请求路由到受保护的 CGI 功能上。
UTA0576 使用该机制访问 wu.cgi，它是包含第二个漏洞的上传处理程序。攻击者提交了一个伪装成 .zip 扩展名的恶意 Perl 脚本。处理程序暂时将上传的内容写入 /home/runtime/tmp/ 目录中，然后检查文件是否为有效的 ZIP 存档。
尽管无效文件随后被删除，攻击者利用文件创建与删除之间的短时间间隔。通过 X-DSCGI-PATH 引用临时文件的并行请求允许 Perl 有效负载在删除前执行。
初始有效负载启动了 Bash，然后是主要存在于内存中的编码 Python 阶段。此时，攻击者获得了以较低权限的 cgi-server 账户执行代码的能力。
为了提升权限，UTA0576 将涉及特权 dsinvoked 服务和 DSCache 配置存储的单独零日漏洞串联起来。攻击者修改了 Ivanti 库的内存副本，改变了特权维护任务的配置，并导致 dsinvoked 以 root 身份执行攻击者控制的 Perl 代码。
在获得 root 访问权限后，漏洞利用恢复了修改的内存配置和库状态。它还从 Ivanti 调试日志和 Linux 审计日志中删除了相关条目，显著减少了磁盘上可用的取证文物。
这种行为尤其重要，因为 Ivanti 的完整性检查工具专注于识别意外的文件更改。由于此漏洞利用的部分代码仅在内存中修改并随后恢复临时配置更改，Volexity 发现攻击可以逃避该工具的检测。
攻击者也没有安装传统的持久化 web shell 或第一阶段后门。相反，UTA0576 每次需要运行另一个命令时，都会重复执行完整的利用链，并通过漏洞利用的 HTTPS 流量直接返回命令输出。
后利用活动主要集中在凭证和 Active Directory 上。Volexity 观察到攻击者提取存储在 VPN 设备上的凭证，查询 Active Directory，搜索 Windows LAPS 密码和 BitLocker 恢复密钥，执行密码喷洒，检查认证日志，并收集 LDAP 流量。
威胁行为者还使用自定义 Python 和 Kerberos 工具测试凭证并访问敏感目录属性。与侦察和凭证收集相关的文件在外流和清理之前被临时放置在 /tmp/ 下。
归因仍不确定。Volexity 将行为者追踪为 UTA0576，并以低置信度评估其动机可能是犯罪而非间谍活动。研究人员还以中等置信度评估行为者可能使用大型语言模型协助开发利用或后利用活动，基于入侵的操作特征。
在出版时审查的主要资料来源中没有发现广泛可用的、已验证的 CVE-2026-104935 PoC。然而，Volexity 已经发布了关于攻击链的详细技术信息，这意味着组织应假定其他行为者可能试图复制技术。
对于 CVE-2026-104935 检测，防御者应监控向 /dana-na/auth/url_default/welcome.cgi 的高请求量，特别是当 X-DSCGI-PATH 头文件引用另一个 CGI 资源或临时文件时。
CVE-2026-104935 缓解
Ivanti 已发布涵盖 CVE 中认证绕过和 RCE 组件的修复。运行受影响 Connect Secure 版本的组织应立即更新，而不是仅依赖完整性检查。
Ivanti 的 10 月安全指南确定了支持分支中的已修复版本，包括 22.8R2.5、25.1.1.2、25.1.3.0 和 25.1.3.1这取决于已部署的代码线。Ivanti 建议尽快迁移到 25.x 分支，因为 22.x 代码线即将结束生命。
Volexity 于 10 月 13 日发布其分析时，观察到的三零日链中的单独权限提升漏洞尚未修复。Ivanti 正在为未来版本准备补丁。这使得安装 CVE-2026-104935 的修复尤为重要，因为阻止初始认证绕过和 RCE 可防止攻击者到达需要利用本地权限提升所需的阶段。
组织还应继续运行 Ivanti 的完整性检查工具，正如供应商建议的那样，但不应将干净结果视为未发生利用的确凿证据。Ivanti 本身建议将更新和完整性检查与网络监控、日志审查、访问控制和持续设备验证结合起来。
为了检测 CVE-2026-104935 的利用，防御者应该检查 HTTP 遥测中请求 URL 与 X-DSCGI-PATH 头文件值之间的不匹配。Volexity 观察到的特别可疑的值包括引用 wu.cgi 或 /home/runtime/tmp/ 下的文件的路径。
安全团队还应检查 /tmp/ 中无法解释的脚本或侦察工件，并调查从 VPN 设备到 Active Directory、LDAP 服务、DNS 基础设施或内部认证系统的不明活动。
从调查事件中已知的 CVE-2026-104935 IOC 包括攻击者控制的 IP 地址 108.165.147[.]64、涉及 /data/.icscap/ 的可疑活动以及目标是暴露的欢迎 CGI 路径的重复请求。这些指示器应与行为检测一起使用，因为攻击者可以轻松旋转基础设施或更改临时文件名。
识别出妥协迹象的组织应进行网络和内存取证研究，而不是仅依赖于基于磁盘的检查。通过设备存储或可访问的凭证应被视为潜在暴露的，包括 LDAP 服务凭证，并应在遏制后轮换。
防御者还应调查 Active Directory 中的可疑 LDAP 查询、密码喷洒、对 LAPS 或 BitLocker 恢复属性的访问、异常的 Kerberos 活动，以及源自 VPN 设备的横向移动。
CISA 在 2026 年 10 月 13 日将该漏洞添加到其已知利用漏洞目录中，并为适用的美国联邦平民机构确立了 10 月 16 日修复期限。这确认了组织应当将修补视为紧迫的优先事项，而不是等待更广泛的利用。
SOC Prime 的 AI-Native Detection Intelligence 平台可以帮助安全团队将此威胁情报操作化，寻找相关行为，并根据可用的网络、身份和终端遥测调整检测。
FAQ
什么是 CVE-2026-104935 以及它如何运作？
CVE-2026-104935 是一个在 Ivanti Connect Secure 中被积极利用的漏洞，涉及认证绕过和远程代码执行链。攻击者可以操纵请求路由行为来访问不需要认证的受保护 CGI 处理程序，并利用临时文件处理在 cgi-server 账户的上下文中执行恶意代码。在观察到的攻击中，这与一个单独的权限提升零日结合，以获得 root 级别访问。
CVE-2026-104935 何时首次被发现？
Ivanti 表示，其产品安全团队此前已经识别出部分漏洞，并在 2026 年 7 月发布的 25.1.3.0 版本中进行了保护。Volexity 在调查 10 月 5 日的可疑活动时独立发现了正在进行的利用，并确定攻击已于 10 月 3 日开始。Ivanti 于 2026 年 10 月 13 日公开披露了该漏洞并确认有限的利用。
CVE-2026-104935 对系统的影响是什么？
成功利用允许未经认证的远程攻击者在受影响的 Ivanti Connect Secure 设备上执行代码。当与 Volexity 观察到的单独权限提升漏洞结合时，攻击者可以获得 root 权限。在调查事件中，UTA0576 窃取了凭证，查询 Active Directory，搜索 LAPS 密码和 BitLocker 恢复密钥，捕获 LDAP 数据，并为潜在的横向移动做准备。
CVE-2026-104935 在 2026 年是否仍然会影响我？
是的。未升级的 Ivanti Connect Secure 设备仍处于直接风险中，因为在野生环境中已确认该漏洞被利用。CISA 已将该漏洞添加到其 KEV 目录中，而 Ivanti 敦促运行受影响版本的客户立即升级，不要拖延。
我可以如何保护自己免受 CVE-2026-104935 的影响？
立即将 Ivanti Connect Secure 升级到适用的修复版本，继续运行完整性检查工具，并监视网络流量和日志中的可疑请求路由行为。由于观察到的漏洞利用可以最小化磁盘工件，怀疑暴露的组织应进行内存和网络取证，并旋转可能被妥协的凭证。管理员应持续查看供应商指南，以获取有关 CVE-2026-104935 的最新详细信息，包括单独的权限提升漏洞的待定修复。
