Ivanti Connect Secure 三漏洞鏈攻擊：繞過認證、執行程式碼、提升權限到 root

發生了什麼

來源：本文整理自 The Hacker News 於 2026 年 10 月 31 日發布的報導，原始技術分析來自 Volexity 於 10 月上旬發布的研究。原文連結，原文發布日期為 2026 年 10 月 31 日。

想像你的組織使用 Ivanti Connect Secure 作為 VPN 閘道，讓員工從外部安全連線到內部網路。你以為這是安全的邊界，但攻擊者不需要任何帳號密碼，就能在這個閘道上執行 root 權限的程式碼。他們串接三個漏洞：先繞過認證、再執行程式碼、最後提升到 root。

2026 年 10 月 31 日（週五），美國網路安全暨基礎設施安全局（CISA）將 Ivanti Connect Secure（ICS）的兩個漏洞加入 Known Exploited Vulnerabilities（KEV）清單：

• CVE-2026-111357（CVSS 8.8）：缺少關鍵功能的認證檢查，讓本地已認證攻擊者提升權限
• CVE-2026-118527（CVSS 4.3）：產生可預測的數字或識別碼，讓遠端已認證攻擊者上傳檔案到已知位置

這兩個漏洞與先前已列入 KEV 的 CVE-2026-104935（CVSS 8.6，認證繞過，10 月 13 日列入）組成完整攻擊鏈。

威脅組織 UTA0576 的攻擊手法

威脅組織 UTA0576 是一個先前未有公開記錄的攻擊者，Volexity 在 10 月上旬首次揭露其活動。與一般攻擊者不同，UTA0576 的攻擊目標非常節制：

他們的攻擊流程：

1. 竊取使用者憑證
2. 擷取有限的 Active Directory 資料
3. 進行主機偵察
4. 搜尋管理員密碼與 BitLocker 復原金鑰

然後就離開，不留下 web shell 或惡意軟體，讓偵測變得更困難。

攻擊鏈如何運作

三個漏洞各自的角色：

第一步：CVE-2026-104935（認證繞過）

攻擊者利用這個漏洞繞過認證，在沒有任何帳號密碼的情況下進入系統，取得本地存取權限。

第二步：CVE-2026-118527（可預測檔案上傳）

一旦取得本地存取權限，攻擊者利用這個漏洞上傳攻擊者控制的檔案到已知位置。漏洞的核心問題是系統產生「可預測的數字或識別碼」，讓攻擊者能夠猜測檔案會被放在哪裡。

第三步：CVE-2026-111357（本地權限提升）

最後，攻擊者利用這個漏洞將自己的權限從普通使用者提升到 root。這個漏洞的核心問題是「缺少關鍵功能的認證檢查」，讓本地已認證的使用者能夠執行原本只有高權限使用者才能執行的操作。

三個漏洞組合起來，攻擊者從未認證狀態一路提升到 root 權限並執行程式碼。

Ivanti 的修補時序

Ivanti 表示，當 Volexity 揭露野外攻擊時，CVE-2026-104935 的修補已經在 QA 階段，因此他們決定優先發布該修補，而不是等其他兩個漏洞都準備好才一起發布。

Ivanti 也指出，CVE-2026-111357 的部分問題已在 7 月發布的 25.1.3.0 版本中修補，當時他們正在將修補移植到其他支援版本時發生野外攻擊。

現在，最新發布的版本已修補所有三個漏洞。

受影響版本與修補版本

受影響版本

• 25.1.1.2 及之前版本
• 22.8R2.5 及之前版本

修補版本

• 25.1.1.3（修補 25.1.1.2 及之前版本）
• 22.8R2.6（修補 22.8R2.5 及之前版本）

Ivanti 表示：「最新發布的版本修補了所有在野外被串接與利用的漏洞。」

聯邦機構的修補期限

聯邦民間行政部門（FCEB）機構被要求在以下期限前完成修補：

• CVE-2026-111357：2026 年 11 月 2 日
• CVE-2026-118527：2026 年 11 月 13 日

CVE-2026-104935 已在 10 月 13 日列入 KEV 清單，當時的修補期限應該已經過了。

如何偵測與防禦

立即升級

唯一有效的防禦方式是升級到修補版本：

• 若使用 25.1.x 系列，升級至 25.1.1.3 或更新版本
• 若使用 22.8R2.x 系列，升級至 22.8R2.6 或更新版本

檢查系統日誌

檢視系統日誌中 10 月以來的活動，尋找：

1. 異常的認證活動：沒有對應使用者的登入記錄
2. 檔案上傳記錄：非預期的檔案出現在系統上
3. 權限變更：本地使用者帳號的權限突然提升

檢查 Active Directory

UTA0576 的目標包括 Active Directory 資料，因此應檢查：

1. 管理員帳號的最近活動：是否有異常登入或權限變更
2. BitLocker 復原金鑰的存取記錄：是否有非預期的讀取

重置憑證

若懷疑已被入侵，應：

1. 重置所有可能透過 VPN 存取的帳號密碼
2. 檢查 BitLocker 復原金鑰是否需要重新產生
3. 監控從 VPN 閘道到內部網路的連線，確認沒有持續的橫向移動

為什麼這組攻擊特別危險

1. 完整的攻擊鏈

三個漏洞各自看起來嚴重性不同（CVSS 8.6、8.8、4.3），但組合起來就是未認證的 root 權限執行。CVE-2026-118527 單獨看只有 4.3 分，但在這個攻擊鏈中是關鍵的第二步。

2. 不留痕跡

UTA0576 不部署 web shell 或惡意軟體，只竊取憑證和資料就離開，讓偵測變得更困難。一般的 web shell 掃描或惡意軟體偵測工具可能完全無法發現這類攻擊。

3. 已有野外攻擊

這不是理論上的風險，而是已經在野外被利用的攻擊鏈。Volexity 的揭露與 CISA 將漏洞列入 KEV 清單，都證明攻擊者正在積極使用這組漏洞。

4. VPN 閘道是高價值目標

Ivanti Connect Secure 是企業的 VPN 閘道，控制了外部到內部網路的存取。一旦攻擊者取得 VPN 閘道的 root 權限，他們就能：

• 竊取所有通過 VPN 的憑證
• 監控 VPN 連線的流量
• 橫向移動到內部網路
• 建立持久性後門

你可以學到什麼

站在攻擊者的角度：我不需要任何帳號密碼，就能在你的 Ivanti VPN 閘道上執行 root 權限的程式碼。第一步，我用 CVE-2026-104935 繞過認證進入系統，現在我有本地存取權限。第二步，我用 CVE-2026-118527 上傳我準備好的檔案到已知位置。第三步，我用 CVE-2026-111357 把我的權限從普通使用者提升到 root。整個過程完成後，我不裝 web shell、不放惡意軟體，我只悄悄複製你的使用者憑證、Active Directory 資料、管理員密碼、BitLocker 金鑰，然後離開。你的監控工具可能完全沒發現。

如果你使用 Ivanti Connect Secure

1. 立即升級至修補版本：25.1.1.3 或 22.8R2.6 或更新版本。
2. 檢查系統日誌：尋找 10 月以來的異常認證、檔案上傳、權限變更。
3. 檢查 Active Directory：確認管理員帳號與 BitLocker 復原金鑰的存取記錄。
4. 若懷疑已被入侵：重置憑證、監控內部連線、參考 Volexity 的技術分析。
5. 關注 UTA0576 的後續活動：這是新出現的威脅組織，未來可能有更多攻擊手法揭露。

攻擊者已經在野外使用這組漏洞鏈，而且他們的攻擊手法不留明顯痕跡。今天就升級，今天就檢查。