Ivanti 已发布 Connect Secure (ICS) 安全更新，修复编号为 CVE-2026-104935 的零日漏洞。该漏洞由安全公司 Volexity 发现，属于认证绕过类型，CVSS 评分高达 8.6 分，允许远程未经身份验证的攻击者执行任意命令。厂商确认，在披露时已有针对少数客户的实际野外攻击行为。
受影响的版本包括 25.1.1.1 及更早版本、25.1.2.2 及更早版本，以及 22.8R2.4 及更早版本。Ivanti 指出，此前已在 7 月的 25.1.3.0 更新中修补了该漏洞的一部分，并致力于将修复方案向后移植，但攻击者在完整补丁发布前便开始了利用行动。鉴于目前公开的入侵指标有限，建议客户参考 Volexity 的报告，并定期运行 Ivanti Integrity Checker Tool 以检查系统是否遭到入侵。
Volexity 将此次攻击背后的威胁组织追踪为 UTA0576。研究人员表示，该组织此前并不知名，其动机疑似为犯罪活动而非间谍行为。观察到的后渗透活动显示，攻击者主要利用新获得的访问权限进行凭证窃取、数据外泄、日志篡改和网络侦察。值得注意的是，攻击者未部署任何恶意软件或 Web shell，仅使用 ICS 设备上可用的命令进行操作。Volexity 还怀疑攻击者正在利用大语言模型辅助其行动，表现为反复通过漏洞通道运行命令，并使用包含硬编码凭证的高度特定脚本。
尽管 Ivanti 仅披露了一个 CVE，但 Volexity 描述了一条涉及三个漏洞的攻击链。周二的更新解决了认证绕过和远程代码执行阶段，而第三个允许权限提升的漏洞独立于 CVE-2026-104935 之外。Volexity 称，Ivanti 已知晓这一额外漏洞，并计划在“未来几周内”发布修复方案。由于行动被发现并中断，威胁行为者的最终目标尚无法确定，但 Volexity 高度确信 UTA0576 的行动旨在为横向移动和更广泛的受害者网络妥协做准备。
此次事件标志着连续第三年 Ivanti 需应对 Connect Secure 中未公开缺陷被攻击者利用的情况。此前，ICS 零日漏洞分别在 2025 年 1 月和 2024 年 1 月被披露，后者曾导致数千台设备受影响。在此期间，疑似中国间谍组织也曾利用 Endpoint Manager Mobile (EPMM) 中的漏洞以及 Sentry 中的关键缺陷。今年早些时候，Ivanti 一月份零日漏洞的记录继续出现，尽管那些缺陷影响的是 EPMM 而非 Connect Secure。
