近期 Volexity 安全研究团队披露了一条针对 Ivanti Connect Secure VPN 网关的完整在野利用链，关联威胁活动编号 UTA0576。该攻击由一个全新、此前无公开记录的威胁组织实施，可实现免认证获取 root 权限，攻击目标十分聚焦，和常见入侵手段差异显著。
这条利用链串联起三个漏洞，相关漏洞信息如下：
- CVE-2026-104935：认证绕过漏洞，CVSS 评分 8.6，10 月 13 日录入 KEV 目录
- CVE-2026-111357：本地权限提升至 root，厂商评分 8.8、NVD 评分 7.0，10 月 30 日录入 KEV 目录
- CVE-2026-118527：可预测标识符漏洞，支持向磁盘固定位置写入任意文件，CVSS 评分 4.3，10 月 30 日录入 KEV 目录
根据溯源结果，该威胁活动最早可追溯至 10 月 3 日。攻击者的攻击思路避开了传统后门手段：不落地 WebShell、不安装持久化恶意程序，入侵后的动作高度收敛，主要完成四项操作：窃取系统凭据、抓取少量 AD 元数据、搜集管理员口令、寻找 BitLocker 恢复密钥。 报告特别提及，部分受害设备已经完成补丁更新，原因在于攻击行动发起时间早于对应补丁的发布时间。
厂商公布的安全修复版本为：25.1.1.3（修复 25.1.1.2 及更早版本）、22.8R2.6（修复 22.8R2.5 及更早版本）。同时提醒，22.8 版本系列将于 2027 年 1 月 31 日终止支持。FCEB 强制处置时限：CVE-2026-111357 为 11 月 2 日，CVE-2026-118527 为 11 月 13 日。
攻击链背后的风险警示
VPN 网关作为企业内外网的信任枢纽，一旦被攻破，攻击者将以可信接入身份进入内网，后续横向移动行为很难被边界安全设备识别拦截，是攻击者高性价比的内网突破口。 很多企业容易出现碎片化修补的误区：仅安装 10 月 13 日发布的 CVE-2026-104935 认证绕过补丁，忽略另外两个配套漏洞，单独修补其中一环，无法阻断整条攻击链路。
本次事件另一处容易被忽视的风险点是 BitLocker 恢复密钥。不少企业没有梳理密钥存储权限边界，如果 BitLocker 恢复密钥存放路径，能够被 VPN 网关或者 VPN 关联账号读取，磁盘加密防护相当于直接失效，属于典型的信任传递漏洞。
推荐应急处置顺序（不可颠倒）
安全团队处置该类事件需要遵循正确流程，避免证据灭失：
- 优先现场取证：直接升级固件会覆盖系统日志与入侵痕迹，存在销毁证据风险，先完成镜像、日志留存等取证工作；
- 完成固件升级：升级至厂商给出的安全基线版本，补齐全部三个漏洞；
- 凭据轮换：默认本次入侵场景下相关凭据已经泄露，批量轮换管理员账号、服务账号密码；
- 域内回溯审计：在 Active Directory 中排查异常查询、异常账号登录行为，追踪攻击者横向移动轨迹。
总结
Ivanti VPN 系列一直是威胁组织重点盯上的基础设施。不同于大量投放恶意代码的攻击模式，UTA0576 组织采用 “轻量入侵、定向窃取密钥凭据” 的思路，隐蔽性更强，事后排查难度更高。 对于使用 Ivanti Connect Secure 的单位，除了按时升级固件，还需要额外梳理 VPN 设备的权限范围，核查 BitLocker 恢复密钥、域管理员凭据是否存在跨设备可访问的情况，建立 VPN 网关的专项审计机制，监控陌生文件写入、异常凭据读取行为。
本文为网络安全行业资讯，仅供风险研判与应急参考
