資料中心的機櫃走道 — 示意圖，非 Ivanti Connect Secure 設備。取自本站既有圖庫，來源與授權見關於頁。

資安Ivanti零時差漏洞CISA KEV

Ivanti Connect Secure 遭串連三個零時差漏洞：UTA0576 從 10 月 3 日起在已更新到最新版的 VPN 上取得 root，入口兩個洞已修、提權漏洞還沒有修補

趨勢新聞2026 年 10 月 18 日

資安公司 Volexity 10 月 13 日發布報告，指一個先前未知、代號 UTA0576 的攻擊者從 10 月 3 日起，串連 Ivanti Connect Secure（ICS）VPN 的三個零時差漏洞，在不需帳號密碼的情況下以 root 身分在設備上執行指令；被入侵的設備當時已更新到最新版 22.8R2.4。其中兩個漏洞合併編為 CVE-2026-104935，CVSS 3.1 分數 8.6，Ivanti 同日發布修補；第三個提權漏洞截至報告發布時還沒有修補。美國網路安全暨基礎設施安全局（CISA）同一天把 CVE-2026-104935 列入「已知遭利用漏洞」（KEV）目錄，聯邦機關限 10 月 16 日前處理。

Volexity 寫，三個漏洞分別是 welcome.cgi 的驗證繞過、wu.cgi 寫檔時的競爭條件造成的遠端執行程式碼，以及 ICS 的 dsinvoked 服務過度信任 DSCache 設定資料、可讓指令以 root 執行的提權漏洞。前兩個共用 CVE-2026-104935，提權漏洞報告裡沒有給編號，只寫 Ivanti 正在修，會放進之後的版本。Volexity 10 月 5 日開始調查一台被入侵的設備，之後與 Ivanti 協調揭露。

美國國家漏洞資料庫（NVD）收錄的 CVE 紀錄寫，受影響的是 25.1.3.0 之前的 ICS；版本範圍為 22.8R2 到 22.8R2.4、25.1.0.0 到 25.1.1.2 之前、25.1.2.0 到 25.1.3.0 之前，22.8R2.5、25.1.3.0、25.1.3.1 不受影響，22.7R2.14 以前的版本也不受影響。弱點類型是 CWE-290「以偽冒方式繞過驗證」。NVD 與 KEV 紀錄都以 Ivanti 的安全公告作為處置依據。

進去之後做了什麼

依 Volexity 的觀察，UTA0576 取出設備上儲存的 LDAP 網域帳密，用自製的 LDAP 工具搜尋 Windows LAPS 本機管理員密碼與 BitLocker 復原資訊，另做了 Kerberoasting、密碼噴灑與 Active Directory 資料匯出。攻擊程式會挑掉 /home/runtime/dlogs/debuglog 與 /var/log/audit/audit.log 裡的近期紀錄，還把 tcpdump 改名為 dsstatmond 抓封包；Volexity 寫，Ivanti 的完整性檢查工具（Integrity Checker Tool）沒有偵測到這些修改。

報告建議套用 Ivanti 的修補、留意大量打向 /dana-na/auth/url_default/welcome.cgi 且 X-DSCGI-PATH 標頭不一致的請求、檢查 /tmp/ 目錄，懷疑被入侵就做網路與記憶體鑑識。動機方面，Volexity 以「低信心」評估 UTA0576 偏向犯罪而非間諜目的，並以「中信心」評估對方有使用大型語言模型。CISA 的 KEV 條目標記「需要鑑識分類」，勒索軟體利用狀態寫「未知」。

原文 Volexity：A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days（2026-10-13），攻擊者代號、三個漏洞的內容、10 月 3 日與 10 月 5 日、入侵後行為與偵測建議取自該文；NVD：CVE-2026-104935，CVSS 分數、CWE 與受影響、不受影響版本取自該頁；CISA KEV 目錄 CVE-2026-104935 條目，列入日期與 10 月 16 日應處理期限取自 KEV 目錄 JSON；Ivanti 公告：Security Advisory Ivanti Connect Secure CVE-2026-104935。