2026 年 10 月 13 日，Ivanti 确认 Connect Secure（ICS）VPN 网关存在编号 CVE-2026-104935 的零日漏洞并已被在野利用。Volexity 同日披露，威胁组织 UTA0576 串联三个零日，在一台已完全打补丁（22.8R2.4）的设备上取得未认证 root 权限，CISA 已将 CVE-2026-104935 列入 KEV 目录。
事件概述
Volexity 于 10 月 5 日介入客户应急事件，根因是一台已打最新补丁（22.8R2.4，Build 19097）的 ICS 设备。取证显示 UTA0576 自 10 月 3 日起反复利用同一条漏洞链执行命令。
攻击链由三段组成，认证绕过与远程代码执行合并编号为 CVE-2026-104935，另一处提权漏洞尚无 CVE，Ivanti 称修复将在未来数周内发布。受影响版本为 25.1.1.1 及更早、25.1.2.2 及更早、22.8R2.4 及更早，Ivanti 已发布 22.8R2.5、25.1.1.2、25.1.3.0 与 25.1.3.1。
技术细节
第一段是 welcome.cgi 的路由缺陷：该脚本公开、无需认证，请求凭 URL 判断是否放行，却凭 X-DSCGI-PATH 头决定转发目标。攻击者向 /dana-na/auth/url_default/welcome.cgi 发请求，再用该头把目的地指向受保护的 wu.cgi。
第二段位于 wu.cgi 的上传处理：它按客户端提供的文件名计算 MD5 并写入 /home/runtime/tmp/，提交一个扩展名为 .zip、内容却是 Perl 脚本的文件即可落地代码。第三段是提权——dsinvoked broker 信任 DSCache 配置数据，据此可以 root 身份执行命令。
后利用阶段刻意低调：设备上没有 webshell 或后门，命令与结果搭在同一 HTTPS 请求里往返，载荷只在内存中打补丁并事后还原配置，还删了 debuglog 与 audit.log 的近期记录，取证只能靠内存镜像与 core dump 重建漏洞链。
影响评估
CVE-2026-104935 的 CVSS 3.1 评分为 8.6，未认证、网络可达、无需交互。攻击者目标明确指向凭据：窃取设备上保存的域凭据、导出 AD 元数据，用自研 Kerberos 工具做 Kerberoast；另一套 Python LDAP 工具借被控的 AD 服务账号搜寻 LAPS 本地管理员密码与 BitLocker 恢复密钥。
真正的风险点在于：一台打了最新补丁的设备仍然可以被打穿，而三段链中的提权漏洞至今没有补丁，仅升级并不能完全关掉入口。
修复建议
Ivanti 要求用户升级到上述修复版本并检查失陷迹象，CISA 对联邦机构的修复期限为 10 月 16 日。
# 排查方向（Volexity / Beazley 公开的 IOC）
# 1) 前置代理日志：大量请求 welcome.cgi
# 且 X-DSCGI-PATH 头与 URL 不一致
# 2) 设备 /tmp/ 与隐藏目录 /data/.icscap/
# 3) 源地址 108.165.147.64命中任一指标的设备应按已失陷处置：升级版本、轮换域凭据与 AD 服务账号口令、重置可能暴露的 LAPS 密码与 BitLocker 恢复密钥、终止活动会话，并做内存取证。日志已被选择性删除，只看设备日志不足以定论。