CVE-2026-104935CVSS 8.6认证绕过 + 任意文件写入
覆盖了漏洞链三个环节中的两个：通过 X-DSCGI-PATH 请求头绕过认证，以及 wu.cgi 中可导致代码执行的文件写入。
说人话： 门卫只认工牌不认人，而工牌的模板就贴在大门上。
Ivanti Connect Secure：打了补丁的 VPN 被拿 root，已经数不清第几回了
Ivanti Connect Secure 零日漏洞链：打满补丁的 VPN 设备又被未授权拿下 root
攻击者 UTA0576 把认证绕过、文件写入和提权串成一条链，接管了运行最新版本的 VPN 设备，随后去捞 AD 凭据、LAPS 密码和 BitLocker 密钥。CISA 当天就把它加入了 KEV。
- 披露时间
- 2026年10月13日
- 公开披露日期
- 严重程度
- CVSS 8.6
- 本页收录 1 个 CVE
- 波及范围
- 暴露在公网的 Ivanti Connect Secure 22.8R2.4、25.1.1.1、25.1.2.2 及更早版本
- ivanti
- 在野利用
- 已发现
- 10 月初起就被利用；已列入 CISA KEV
一句话说清楚
发一个魔法请求头跳过登录，借一个更新用的 CGI 写入文件，再用本地漏洞提权到 root：三步走，一个密码都不用，拿下的还是给你守内网大门的那台设备。
发生了什么
Volexity 在一台运行 22.8R2.4（当时的最新版本）的 Connect Secure 设备上发现了这名攻击者，编号 UTA0576。攻击链如下：
- 通过
X-DSCGI-PATH请求头绕过认证 - 在
wu.cgi中写入文件 → 执行代码（1 和 2 合起来就是 CVE-2026-104935，CVSS 8.6） - 在
dsinvoked中提权，这个漏洞没有公开的 CVE，披露时仍未修复
攻击者没有留 Webshell，而是每执行一条命令就重新利用一次漏洞，并篡改日志来骗过 Ivanti 内置的完整性检查工具。得手之后，它去捞 LDAP/AD 凭据、LAPS 密码和 BitLocker 密钥，还做了 Kerberoasting。
Volexity 有中等把握认为攻击者用 LLM 开发了攻击工具，但对它是犯罪团伙而非间谍组织只有低把握。我们没能访问到 Ivanti 自己的安全公告，修复版本列表来自二手报道，请到 Ivanti 门户上再核对一遍。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Ivanti Connect Secure 22.8 | 22.8R2.5 | |
| Ivanti Connect Secure 25.1 | 25.1.1.2 / 25.1.3.0 / 25.1.3.1 | |
| dsinvoked 中的提权漏洞 | 无修复 | 披露时既无 CVE 也无补丁。厂商承诺“未来几周内”修复 |
案发时间线
2026年10月1日
最早的利用活动
依据是 Defused Cyber 的蜜罐和 Volexity 的 Koessel。Volexity 的博客写的是 10月3日。
2026年10月5日
Volexity 开始调查一台被攻陷的设备
这台设备运行的是 22.8R2.4，也就是当时的最新版本。
2026年10月13日
Ivanti 发布补丁；Volexity 发布分析；CISA 将其加入 KEV
2026年10月14日
Previdian 记录到来自 50 个 IP 的 105 次利用尝试
2026年10月16日
CISA 给美国联邦机构设定的修复截止日
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Volexity一手来源完整的漏洞链分析、攻击者 UTA0576、时间线、IOC
- The Hacker NewsCISA KEV 收录情况和截止日期；修复版本
- BleepingComputer报道了 Ivanti 的安全公告
- CyberScoop利用活动的背景