plaincve:~$

// 威脅簡報

CVE-2026-104935已遭實際利用

Ivanti Connect Secure 認證繞過:不用登入就能在 VPN 設備上執行指令

CVSS
8.6 HIGH
CISA KEV
2026-10-13
弱點類型
CWE-290
主題
基礎設施

PlainCVE 團隊 · 發布 2026-10-18 · AI 輔助 · 媒體簡報 ↓

AI 審稿 2026-10-18(未經人工)指令測試:未提供漏洞重現:未進行驗證紀錄 ↓

Ivanti Connect Secure VPN 設備的認證繞過漏洞,讓遠端攻擊者不用登入就能執行指令;已遭實際利用。

誰會中使用受影響版本 Ivanti Connect Secure(ICS)的組織。NVD 的版本範圍為 22.8R2 到 22.8R2.4、25.1.0.0 到 25.1.1.2 之前、25.1.2.0 到 25.1.3.0 之前;Rapid7 引述 Ivanti 公告,寫成 22.8R2.4 以前、25.1.2.2 以前、25.1.1.1 以前;CVE 紀錄的描述寫 25.1.3.0 以前都受影響,25.1.1.2 各來源說法不一。CVE 紀錄寫 22.7R2.14 以前不受影響;Rapid7 引述 Ivanti 公告,稱 22.7.x 以下都不受影響。
後果網路上的攻擊者不需帳號、也不需使用者配合,就能在設備上以 cgi-server 使用者身分執行任意指令。在已觀察到的攻擊中,攻擊者再串接另一個尚未修補的提權漏洞,取得了 root 權限。
現在該做什麼升級到修補版本(22.8R2.5、25.1.3.0、25.1.3.1;25.1.1.2 的狀態各來源說法不一)。Ivanti 內建的 Integrity Checker Tool 偵測不到這條攻擊鏈,懷疑遭入侵時需要做鑑識調查。
受影響版本CVE 紀錄(CNA:Ivanti)寫 25.1.3.0 以前受影響(22.7R2.14 以前不受影響);Rapid7 引述 Ivanti 公告,寫成 22.8R2.4 以前、25.1.2.2 以前、25.1.1.1 以前(22.7.x 以下不受影響);NVD 的範圍見內文。25.1.1.2 各來源說法不一。
修好的版本22.8R2.5、25.1.3.0、25.1.3.1;25.1.1.2 是否已修補,各來源說法不一
CVSS 向量
顯示完整向量CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
時間點
  • 首次公開 2026-10-13
CISA KEV已列入(2026-10-13),代表已有實際攻擊案例

藍隊應對手冊

確認、修補 / 緩解、應變、強化。版本符合受影響條件不等於已被入侵;檢查沒有結果也不等於安全,每一項都有能證明與不能證明的範圍。標記的步驟對應下方攻擊流程裡可以擋下攻擊的那一步。

DETECT確認我受影響嗎?有沒有入侵跡象?
  1. 01確認設備版本是否在受影響範圍

    Rapid7 引述 Ivanti 公告,列 22.8R2.4 以前、25.1.2.2 以前、25.1.1.1 以前受影響;CVE 紀錄(CNA:Ivanti)則寫 25.1.3.0 以前都受影響,只把 25.1.3.0、25.1.3.1、22.8R2.5 與 22.7R2.14 以前列為不受影響。PlainCVE 的建議是兩邊任一份列為受影響的版本都要檢查;若你使用 25.1.1.2,請注意各來源對它是否已修補說法不一。

  2. 02Integrity Checker Tool 顯示正常不代表沒事

    Volexity 指出,這條攻擊鏈只在記憶體中修改程式碼並還原設定資料,所以 Ivanti 的 Integrity Checker Tool 偵測不到任何修改,需要做鑑識調查才能找到利用證據。

    步驟 3步驟 5
  3. 03比對 Volexity 公布的入侵指標

    Rapid7 引述 Ivanti 說法,指 Ivanti 在發布公告時沒有可靠的入侵指標(IOC);Volexity 則已公布了一些(該頁含攻擊程式,本站不連結)。

    步驟 1步驟 5
MITIGATE修補 / 緩解先修補;還不能修補時先擋住
  1. 01升級到修補版本

    修補版本為 22.8R2.5、25.1.3.0、25.1.3.1;25.1.1.2 的狀態各來源說法不一。Volexity 表示修補於 2026-10-13 釋出。來源中沒有描述升級以外的緩解方式。

    步驟 1步驟 2步驟 3
  2. 02先確認你的硬體能升到哪個版本

    runZero 指出,25.1.3.0 需要新的 ISA4500/6500/8500 硬體,或用 25.1.3.0 範本新建的虛擬機/雲端設備;ISA6000/ISA8000 上的 25.1 升級路徑是 25.1.1.2。

RESPOND應變發現入侵跡象時
  1. 01懷疑遭入侵時做完整鑑識,並假設攻擊者可能已是 root

    在已觀察到的攻擊中,攻擊者串接了尚未修補的提權漏洞取得 root,並刪除了除錯與稽核紀錄中的證據。因此只升級不足以排除入侵;以最壞情況處理是 PlainCVE 的建議,不是 Ivanti 的指引。

    步驟 4步驟 5
HARDEN強化長期避免同類問題
  1. 01留意提權漏洞的後續修補

    Volexity 表示 Ivanti 會在未來幾週內的版本修補同一攻擊鏈中的提權漏洞;釋出後應盡快套用。

    步驟 4
  2. 02規劃在 22.7/22.8 停止支援前遷移

    runZero 指出 ICS 22.7 與 22.8 將於 2027-01-31 停止支援。

完整修復步驟與說明

修補版本: 22.8R2.5、25.1.3.0、25.1.3.1;25.1.1.2 狀態有爭議(見上方)。

硬體限制(依 runZero):

你的平台可升級到
新的 ISA4500 / ISA6500 / ISA8500,或用 25.1.3.0 範本新建的虛擬機/雲端設備25.1.3.0
ISA6000 / ISA8000 上的 25.125.1.1.2

如果你只能升到 25.1.1.2,請留意上方的來源分歧,並向 Ivanti 確認你的版本確實已修補。

順序提醒(PlainCVE 的建議,不是來源或 Ivanti 的指引): 若懷疑設備已遭入侵,請在升級或重新開機之前先保全鑑識資料,因為依 Volexity,攻擊鏈的改動只存在記憶體中,紀錄中的證據也遭刪除;保全之後再升級。升級只會擋住之後的攻擊,不會清除已經發生的入侵;而同一攻擊鏈中的提權漏洞仍未修補(Volexity 表示 Ivanti 預計在未來幾週的版本修補)。來源中沒有描述升級以外的暫時緩解方式。CISA 要求聯邦機構依廠商指示採取緩解措施,若無緩解措施則停止使用該產品,期限為 2026-10-16。

攻擊流程

從左到右是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

由上到下是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

Ivanti Connect Secure 認證繞過:不用登入就能在 VPN 設備上執行指令: 1. 透過網路連到 ICS 設備,不需要登入 → 2. 設備被偽造的身分騙過,認證被繞過 → 3. 以 cgi-server 使用者身分執行任意指令 → 4. 串接另一個提權漏洞取得 root → 5. 湮滅痕跡,讓完整性檢查看不出異狀CVE-2026-104935 · Ivanti Connect Secure 認證繞過:不用登入就能在 VPN 設備上執行指令攻擊者你的系統透過網路連到 ICS 設備,不需要登入 — 依 CVSS 評分,攻擊者只需要網路連線,不需要帳號、權限,也不需要使用者做任何事。 1透過網路連到 ICS 設備,不需要登入設備被偽造的身分騙過,認證被繞過 — 這是 CWE-290 類型的缺陷。依 Volexity 的高階說明,設備依請求的網址(一個公開、不需登入的頁面)判斷是否放行,實際把請求交給哪個內部程式,卻依請求自帶的標頭決定;兩者不一致,請求就能被送到原本需要登入的程式。 2設備被偽造的身分騙過,認證被繞過以 cgi-server 使用者身分執行任意指令 — Volexity 指出,這個 CVE 同時涵蓋認證繞過與遠端程式碼執行兩個缺陷。單靠這兩個缺陷,攻擊者只拿到 cgi-server 使用者的權限,還不是 root。 3以 cgi-server 使用者身分執行任意指令串接另一個提權漏洞取得 root — 這個提權漏洞不屬於本 CVE,而且還沒修補。Volexity 表示 Ivanti 預計在未來幾週內的版本修補。 4串接另一個提權漏洞取得root湮滅痕跡,讓完整性檢查看不出異狀 — Volexity 觀察到,攻擊鏈只在記憶體中修改程式庫,並把設定資料還原;攻擊者也刪除了 Ivanti 除錯紀錄與 Linux 稽核紀錄中的證據。 5湮滅痕跡,讓完整性檢查看不出異狀攻擊路徑可在此擋下PlainCVE · plaincve.date/vulns/cve-2026-104935-ivanti-connect-secure-auth-bypass · CC BY 4.0
Ivanti Connect Secure 認證繞過:不用登入就能在 VPN 設備上執行指令: 1. 透過網路連到 ICS 設備,不需要登入 → 2. 設備被偽造的身分騙過,認證被繞過 → 3. 以 cgi-server 使用者身分執行任意指令 → 4. 串接另一個提權漏洞取得 root → 5. 湮滅痕跡,讓完整性檢查看不出異狀CVE-2026-104935 · Ivanti Connect Secure認證繞過:不用登入就能在 VPN 設備上執行指令透過網路連到 ICS 設備,不需要登入 — 依 CVSS 評分,攻擊者只需要網路連線,不需要帳號、權限,也不需要使用者做任何事。 1攻擊者透過網路連到 ICS 設備,不需要登入設備被偽造的身分騙過,認證被繞過 — 這是 CWE-290 類型的缺陷。依 Volexity 的高階說明,設備依請求的網址(一個公開、不需登入的頁面)判斷是否放行,實際把請求交給哪個內部程式,卻依請求自帶的標頭決定;兩者不一致,請求就能被送到原本需要登入的程式。 2你的系統設備被偽造的身分騙過,認證被繞過以 cgi-server 使用者身分執行任意指令 — Volexity 指出,這個 CVE 同時涵蓋認證繞過與遠端程式碼執行兩個缺陷。單靠這兩個缺陷,攻擊者只拿到 cgi-server 使用者的權限,還不是 root。 3你的系統以 cgi-server 使用者身分執行任意指令串接另一個提權漏洞取得 root — 這個提權漏洞不屬於本 CVE,而且還沒修補。Volexity 表示 Ivanti 預計在未來幾週內的版本修補。 4攻擊者串接另一個提權漏洞取得 root湮滅痕跡,讓完整性檢查看不出異狀 — Volexity 觀察到,攻擊鏈只在記憶體中修改程式庫,並把設定資料還原;攻擊者也刪除了 Ivanti 除錯紀錄與 Linux 稽核紀錄中的證據。 5攻擊者湮滅痕跡,讓完整性檢查看不出異狀攻擊路徑可在此擋下PlainCVE · CC BY 4.0plaincve.date/vulns/cve-2026-104935-ivanti-connect-secure-auth-bypass
圖片可自由用於報導與教學,採 CC BY 4.0,圖上已附出處。
  1. 攻擊者

    透過網路連到 ICS 設備,不需要登入

    依 CVSS 評分,攻擊者只需要網路連線,不需要帳號、權限,也不需要使用者做任何事。

    防禦: 升級到修補版本。來源中沒有描述升級以外的暫時緩解方式。

  2. 你的系統

    設備被偽造的身分騙過,認證被繞過

    這是 CWE-290 類型的缺陷。依 Volexity 的高階說明,設備依請求的網址(一個公開、不需登入的頁面)判斷是否放行,實際把請求交給哪個內部程式,卻依請求自帶的標頭決定;兩者不一致,請求就能被送到原本需要登入的程式。

    防禦: 22.8R2.5、25.1.3.0、25.1.3.1 已修補。

  3. 你的系統

    以 cgi-server 使用者身分執行任意指令

    Volexity 指出,這個 CVE 同時涵蓋認證繞過與遠端程式碼執行兩個缺陷。單靠這兩個缺陷,攻擊者只拿到 cgi-server 使用者的權限,還不是 root。

    防禦: 升級到修補版本。

  4. 攻擊者

    串接另一個提權漏洞取得 root

    這個提權漏洞不屬於本 CVE,而且還沒修補。Volexity 表示 Ivanti 預計在未來幾週內的版本修補。

    防禦: 目前沒有修補;留意 Ivanti 後續版本。

  5. 攻擊者

    湮滅痕跡,讓完整性檢查看不出異狀

    Volexity 觀察到,攻擊鏈只在記憶體中修改程式庫,並把設定資料還原;攻擊者也刪除了 Ivanti 除錯紀錄與 Linux 稽核紀錄中的證據。

    防禦: 不要只依賴 Integrity Checker Tool;需要做鑑識調查,並參考 Volexity 公布的入侵指標。

影響範圍

版本是否受影響
22.7R2.14 以前不受影響(CVE 紀錄);Rapid7 引述 Ivanti 公告,寫法更寬:22.7.x 以下都不受影響
22.8R2.4 以前受影響(NVD 列出 22.8R2 到 R2.4)
22.8R2.5已修補
25.1.1.1 以前受影響
25.1.1.2來源說法不一,見下方
25.1.2.2 以前受影響
25.1.3.0、25.1.3.1已修補

上表的版本號(22.8R2.4、25.1.1.1、25.1.2.2 等)出自 Rapid7 引述的 Ivanti 公告。NVD 的版本範圍為 22.8R2 到 22.8R2.4、25.1.0.0 到 25.1.1.2 之前、25.1.2.0 到 25.1.3.0 之前,沒有列出「25.1.2.2」這個版本號。CVE 紀錄(CNA:Ivanti)的描述則寫「25.1.3.0 以前」都受影響,預設狀態為受影響,不受影響清單只有 25.1.3.0、25.1.3.1、22.8R2.5 與 22.7R2.14。

25.1.1.2 的分歧: Rapid7(引述 Ivanti)與 NVD 的版本範圍把 25.1.1.2 列為已修補;但 CVE 紀錄中 CNA 的描述寫「25.1.3.0 以前」都受影響,不受影響清單裡也沒有 25.1.1.2。這點很重要,因為 runZero 指出 ISA6000/ISA8000 硬體上的 25.1 升級路徑正是 25.1.1.2。Ivanti 的公告頁面在我們取得時無法顯示,所以無法直接確認。

原理

Ivanti Connect Secure(ICS)是企業用來讓員工從外部連進公司網路的 VPN 設備。這個漏洞屬於 CWE-290「以偽造身分繞過認證」:設備把某個攻擊者能假冒的訊號當成「已登入」的證明,於是跳過了登入檢查。依 Volexity 的文章(該頁含攻擊程式,本站不連結),概略來說:設備依請求的網址(一個公開、不需登入的頁面)決定是否放行,但實際把請求交給哪個內部程式,卻依請求自帶的標頭決定;放行判斷和實際去向不一致,請求就能被送到原本需要登入的程式。遠端程式碼執行的部分,Volexity 說是一個上傳處理程式先把檔案寫到磁碟、之後才檢查,中間的時間差形成競態條件。這是閉源的設備軟體,沒有可查看的修補程式碼。

依 Volexity 的分析,這個 CVE 其實涵蓋兩個缺陷:認證繞過,加上一個遠端程式碼執行(RCE,讓攻擊者在遠端執行自己的指令)缺陷。兩者串起來,攻擊者能以 cgi-server 這個系統使用者的身分執行指令,但還不是最高權限的 root。在實際攻擊中,攻擊者又串接了第三個、不屬於本 CVE 且尚未修補的提權漏洞,才拿到 root。

CWE-290 的一般性錯誤模式(概念示意,不是 Ivanti 的程式碼):

展開程式碼範例(python)
# 有問題的思路:相信請求自己宣稱的身分
if request.claims_to_be_trusted():
    skip_login()
展開程式碼範例(python)
# 修好的思路:身分只能來自伺服器端驗證過的憑證
session = verify_credentials_server_side(request)
if not session:
    reject()

由於攻擊鏈只在記憶體中修改程式庫並還原設定資料,Ivanti 的 Integrity Checker Tool 看不出任何修改(Volexity)。另外,攻擊者也刪除了 Ivanti 除錯紀錄與 Linux 稽核紀錄中的證據。

評分: CNA 給的 CVSS 3.1 為 8.6(高)。Rapid7 稱之為「CVSSv3.0」分數,runZero 標題寫「Critical」(嚴重),兩者都與 CVE 紀錄略有出入。CISA 的 SSVC 評估為:正在遭利用、可自動化、技術影響為全面。

時間軸

日期事件
2026-0725.1.3.0 釋出,依 Rapid7,其中已修補部分問題(由 Ivanti 內部發現)
2026-10-01Defused 觀察到最早的利用跡象(BleepingComputer 報導)
2026-10-02CVE 編號保留
2026-10-03Volexity 觀察到 UTA0576 開始反覆利用
2026-10-13Ivanti 發布安全公告(依 Rapid7)、修補釋出(依 Volexity)、CVE 公開、列入 CISA KEV
2026-10-16CISA 給聯邦機構的修補期限
2027-01-31ICS 22.7 與 22.8 停止支援(依 runZero)

延伸閱讀

  • 零時差的範圍: Rapid7 指出利用發生在公開之前,屬零時差;Volexity 確認的受害設備執行 22.8R2.4,當時已是該分支完整修補的版本。不過 Rapid7 也說部分問題早在 7 月的 25.1.3.0 就修好了。PlainCVE 的判斷是:「零時差」適用於當時還沒拿到回移修補的分支(例如 22.8),不適用於 25.1.3.0。
  • 規模與攻擊者: Volexity 確認一個受害者;BleepingComputer 引述 Ivanti 說法,稱利用「有限」。Volexity 將攻擊者命名為 UTA0576,以低信心判斷動機偏向犯罪而非間諜活動。CISA 對勒索軟體關聯標為「未知」。
  • 利用開始日期不一: Volexity 說 10 月 3 日,Defused 說 10 月 1 日,可能只是兩家看到的活動不同。
  • 發現者說法不一: BleepingComputer 說是 Volexity 發現並通報;Rapid7 說 Ivanti 內部先發現了一部分;CVE 紀錄(CNA:Ivanti)的 discovery 欄位為「UNKNOWN」;Volexity 自己則說是它向 Ivanti 通報。
  • 入侵指標: Rapid7 引述 Ivanti,稱公告時沒有可靠的入侵指標;Volexity 已公布一些(該頁含攻擊程式,本站不連結)。
  • 資料品質: CISA KEV 備註裡的公告網址格式錯誤(https:/forums.ivanti.com),與 CVE/NVD 紀錄中的 hub.ivanti.com 網址也不同。漏洞程式碼何時引入,沒有來源說明。
  • 相關弱點類型:CWE-290。

驗證紀錄 AI 依審稿規則逐項核對來源,全部通過;未經人工審稿,也尚未在我們的環境重現

AI 審稿2026-10-18 · 審稿規則

驗證紀錄只寫環境與結果,不公開重現步驟或可攻擊他人系統的程式。詳見 政策.

來源

  1. CVE / NVD / OSVCVE-2026-104935 record (CVE Services API) · CVE Program, 2026-10-13 · 查閱 2026-10-14
  2. CVE / NVD / OSVCVE-2026-104935 (NVD API) · NIST NVD · 查閱 2026-10-14
  3. 研究文章Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935) · Rapid7 · 查閱 2026-10-14
  4. 研究文章Ivanti Connect Secure · runZero · 查閱 2026-10-14
  5. 新聞報導Ivanti warns of Connect Secure zero-day exploited in attacks · BleepingComputer · 查閱 2026-10-14
  6. 新聞報導Ivanti zero-day chain gave attackers root access to fully patched VPN · SecurityWeek · 查閱 2026-10-14
  7. 新聞報導Attackers chain three Ivanti VPN zero-days for root access · iTnews · 查閱 2026-10-14

媒體簡報

一句話

Ivanti Connect Secure 是企業使用的 VPN 設備。它有一個認證繞過漏洞(CVE-2026-104935),讓攻擊者不用登入就能在設備上執行指令。資安公司 Volexity 觀察到它在修補前就遭實際利用,美國 CISA 也在 2026 年 10 月 13 日將它列入已知遭利用漏洞清單。依 Volexity,修補版本已在同一天釋出,但同一攻擊鏈中用來取得最高權限的另一個漏洞尚未修補。

關鍵數字

嚴重度
CVSS 3.1 8.6(CNA) cveawg.mitre.org
CVE 公開
2026-10-13 cveawg.mitre.org
Ivanti 公告
2026-10-13(依 Rapid7;Rapid7 也稱 25.1.3.0 已於 2026 年 7 月釋出,修補了部分問題) rapid7.com
受影響版本
22.8R2 到 22.8R2.4、25.1.0.0 到 25.1.1.2 之前、25.1.2.0 到 25.1.3.0 之前(依 NVD;CVE 紀錄的描述寫 25.1.3.0 以前,25.1.1.2 各來源說法不一) services.nvd.nist.gov
攻擊者
UTA0576(Volexity 命名) securityweek.com

已確認

  • 不需登入的遠端攻擊者可以在受影響的 ICS 設備上執行任意指令(CVE 紀錄)。
  • 它已列入 CISA 已知遭利用漏洞清單,Volexity 也觀察到實際利用。
  • Volexity 確認的受害設備執行 22.8R2.4,在當時已套用所有修補。
  • Ivanti 的 Integrity Checker Tool 偵測不到這條攻擊鏈(Volexity)。

尚未確認 / 說法不一

  • 25.1.1.2 是否已修補:Rapid7 與 NVD 的版本範圍視為已修補,CVE 紀錄的描述則說 25.1.3.0 以前都受影響。
  • 利用開始日期:Volexity 說 10 月 3 日,Defused(經 BleepingComputer 報導)說 10 月 1 日。
  • 誰發現了漏洞:BleepingComputer 歸功於 Volexity,Rapid7 說 Ivanti 內部先發現了一部分。
  • 是否與勒索軟體活動有關:CISA 標為「未知」;Volexity 以低信心判斷攻擊者動機偏向犯罪而非間諜活動。

可引用的一句話

這次最棘手的不是門被打開,而是闖入者幾乎沒留下痕跡:改動只存在記憶體中,連設備自帶的檢查工具都看不出來。

圖片

下載分享圖(PNG) · 攻擊流程圖(可下載)

引用時請標示「PlainCVE」並附上本頁連結。 完整引用格式見下方「如何引用本頁」。有事實錯誤請回報.

如何引用本頁

本文採 CC BY 4.0,轉載請保留署名與連結。

PlainCVE 團隊(2026)。《Ivanti Connect Secure 認證繞過:不用登入就能在 VPN 設備上執行指令》。PlainCVE。https://plaincve.date/vulns/cve-2026-104935-ivanti-connect-secure-auth-bypass(查閱日期:YYYY-MM-DD)
BibTeX
@misc{cve2026104935ivanticonnectsecureauthbypass2026,
  title  = {Ivanti Connect Secure 認證繞過:不用登入就能在 VPN 設備上執行指令},
  author = {PlainCVE 團隊},
  year   = {2026},
  howpublished = {PlainCVE},
  url    = {https://plaincve.date/vulns/cve-2026-104935-ivanti-connect-secure-auth-bypass},
  note   = {更新於 2026-10-18}
}