【已复现】Ivanti Connect Secure 未认证 RCE 与提权漏洞链（CVE-2026-104935）

长亭安全应急响应中心

2026年10月16日 12:04
浙江

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

Ivanti Connect Secure 是一款远程接入（VPN）安全网关产品，用于为员工与外部用户提供加密的远程访问通道，并承担接入侧的身份认证职责，广泛部署在企业内网边界，作为访问内部业务系统的统一入口。

2026 年 10 月，长亭安全应急响应中心监测到 Ivanti Connect Secure 存在认证绕过与远程代码执行风险。攻击者无需有效账号即可绕过身份认证，在设备上执行任意代码，并可进一步将权限提升至 root。公开信息显示，相关漏洞链已被用于在野攻击。长亭安全应急响应中心已完成复现验证。截至通告发布，Ivanti 已针对 CVE-2026-104935 发布修复版本，权限提升组件将在后续版本中修复。建议使用受影响版本的用户尽快确认资产暴露面并完成升级。

漏洞描述 Description

01

漏洞成因

经分析，Ivanti Connect Secure 在处理前端请求与后端脚本处理程序之间的路由关系时校验不充分。攻击者可以构造请求，使其目标处理程序与请求被允许访问的处理程序不一致，从而绕过身份认证，访问本应要求登录的后端脚本处理逻辑。

在获得认证绕过能力后，攻击者还可利用内部上传处理逻辑中文件写入与校验、清理之间的时序缺陷写入脚本，从而在设备上以 Web 服务进程权限执行任意代码。上述认证绕过与远程代码执行缺陷由 CVE-2026-104935 跟踪。

攻击者在获得代码执行能力后，可进一步利用设备上以 root 权限运行的后台维护服务对共享配置数据处理不当的缺陷提升权限，最终获得 root 权限。该权限提升缺陷为利用链中的独立漏洞，截至通告发布，官方仍在修复中。

漏洞影响

成功利用该漏洞链的攻击者可在未授权的情况下，在 Ivanti Connect Secure 设备上以 root 权限执行任意代码。

由于此类设备承载远程接入与身份认证功能，且通常位于企业网络边界，攻击者可能借此窃取设备上保存的域凭据、读取目录服务信息、嗅探经过设备的明文协议流量，并以此为跳板向内部网络横向移动。公开信息显示，在已披露的在野攻击活动中，攻击者主要围绕凭据窃取、目录服务信息收集、流量嗅探与日志清理展开操作。

此外，相关攻击以内存操作为主并伴随设备侧日志清理，设备自带的完整性检查工具可能无法发现入侵痕迹，实际影响范围与数据泄露情况需结合完整取证确认。

处置优先级：高

漏洞类型： 远程代码执行

漏洞危害等级： 高

触发方式： 网络远程

权限认证要求： 无需权限

系统配置要求： 默认配置

用户交互要求： 无需用户交互

利用成熟度： POC 未公开

修复复杂度： 低，官方已提供修复方案

影响版本 Affects

02

Ivanti Connect Secure 22.8R2.4 及更早版本（22.8.X 版本）

Ivanti Connect Secure 25.1.1.1（ISA6000、ISA8000 硬件平台）

Ivanti Connect Secure 25.1.2.2 及更早版本

解决方案 Solution

03

升级修复方案

截至通告发布，Ivanti 已发布针对 CVE-2026-104935 的修复版本，建议升级至对应分支的安全版本或更高版本：

• 22.8.X 分支：升级至 22.8R2.5
• 25.1.1.1（ISA6000、ISA8000）：升级至 25.1.1.2
• 25.1.2.2 及更早版本：升级至 25.1.3.0 或 25.1.3.1

官方安全公告与升级指引：https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en\_US

运行 22.7.X 及更早版本的用户不受该漏洞影响。升级至 25.1.3.0 需要配套的 ISA4500、ISA6500 或 ISA8500 硬件，或使用新模板重建虚拟化、云环境设备；暂不具备迁移条件的用户，可先升级至 22.8R2.5 或 25.1.1.2 作为过渡。

需要说明的是，利用链中的权限提升组件为独立漏洞，截至通告发布官方仍在修复中，将在后续版本中提供修复。

临时缓解方案

以下措施为应急临时方案，可能影响业务功能，升级完成后应及时移除。

• 尽可能收敛网络暴露面，限制对设备管理接口与网关接口的访问，仅放通必要的可信来源。
• 在实施变更前保留设备日志与系统镜像，避免证据丢失。
• 加强对设备异常行为的监测，重点关注源自 VPN 设备的横向移动迹象与异常认证请求。
• 由于本次利用以内存操作为主，设备自带完整性检查工具可能无法发现痕迹；怀疑设备已被入侵时，应开展网络与内存取证，并按官方恢复指引处置。

漏洞复现 Reproduction

04

长亭安全应急响应中心已完成复现验证。

复现验证结果

产品支持 Support

05

云图： 默认支持该产品的指纹识别，同时支持该漏洞的PoC检测

洞鉴： 预计 2026.10.16 发布应急POC

无锋： 默认支持该产品的指纹识别，同时支持该漏洞的PoC检测

全悉： 预计 2026.10.16 发布更新包支持该漏洞利用行为的检测

雷池： 预计 2026.10.16 发布自定义规则支持该漏洞利用行为的检测

时间线 Timeline

06

2026 年 10 月 15 日 长亭安全应急响应中心发布通告

参考资料

[1]. https://watchtowr.com/intelligence/ivanti-connect-secure-authentication-bypass-by-spoofing-cve-2026-104935/

[2]. https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/

[3]. https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en\_US

长亭应急响应服务

全力进行产品升级

及时将风险提示预案发送给客户

检测业务是否受到此次漏洞影响

请联系长亭应急服务团队

7\*24小时，守护您的安全

第一时间找到我们：

邮箱：[email protected]