Ivanti Connect Secure中新披露的一个认证绕过漏洞已被用于实际攻击，CISA敦促各组织迅速采取行动。该漏洞编号为CVE-2026-104935，被评为高危级别，Cyber Daily在报道中引用的一位分析师称其利用方式“极其简单”。如果你的组织运行着这款VPN网关，Ivanti Connect Secure零日漏洞补丁应当被提上日程的最优先位置。
目前公开的细节仍然有限，因此本文仅围绕已有报道的内容展开，并聚焦于你可以采取的实用措施。
CVE-2026-104935是什么，以及它为何正被利用
CVE-2026-104935是Ivanti Connect Secure中的一个认证绕过漏洞。通俗地说，认证绕过让攻击者能够跳过本应阻止外部人员进入系统的登录步骤。攻击者无需窃取密码或欺骗用户，而是完全跳过这一检查。
有两个细节解释了它为何引发关注。首先，该漏洞被描述为已被攻击者利用的零日漏洞。其次，一位分析师称其利用方式“极其简单”。无需凭据、几乎不需要技巧的简单漏洞往往传播迅速，因为更多攻击者可以使用它，自动化扫描也变得可行。
CISA已敦促迅速采取行动。来源文章未提供进一步的技术细节，例如受影响的版本号或攻击者身份，因此请查阅Ivanti的官方公告获取这些信息，而不要依赖二手摘要。
你的VPN网关是否受影响？如何检查入侵迹象
从基础工作开始：确认你是否运行了Ivanti Connect Secure，包括分支机构、测试环境或云部署中被遗忘的旧设备。未受管理的网关往往正是未被打补丁的那些。
然后将你安装的版本与Ivanti公告中列出的版本进行比对。如果你处于受影响范围内，在更新之前应假定该设备存在风险。
由于据报道攻击正在进行中，仅打补丁可能还不够。一个在修复发布之前就被利用的绕过漏洞可能已留下痕迹。合理的措施包括：
- 审查认证和管理日志，查找意外登录，尤其是来自不熟悉IP地址或在异常时间段的登录。
- 查找设备上的新增或变更账户、配置更改或陌生文件。
- 运行供应商提供的任何完整性检查工具，并遵循其对结果含义的指导。
- 检查管理界面是否可从公网访问，而在不需要时应予以关闭。
如果发现任何可疑情况，应将其视为安全事件：隔离设备、保存日志，并遵循供应商和CISA的指导后再将其重新上线。
遵循CISA指导的补丁与缓解措施
最明确的指示是在适用于你的版本的供应商修复发布后尽快应用。CISA敦促迅速行动，这表明在此情况下等待例行维护窗口是有风险的选择。
一个实用的流程如下：
- 应用更新。 安装Ivanti提供的补丁，或者如果你的版本尚无修复，遵循供应商发布的任何临时缓解措施。
- 限制暴露面。 将管理访问限制在可信网络内，并在可能的情况下在网关前方增加额外控制措施。
- 若怀疑已遭入侵，轮换凭据。 包括本地账户以及设备上存储或可通过设备访问的任何密钥。
- 事后持续监控。 在打补丁后的一段时间内保持增强日志记录，因为早期入侵可能不会立即显现。
- 记录并报告。 记录你发现的情况和采取的措施，并遵循适用于你组织的任何报告义务。
关于确切的补丁版本和缓解步骤，请直接依赖Ivanti和CISA，因为这些指示可能会随事态发展而更新。
为何VPN设备是高价值目标
VPN网关位于网络边缘，按设计面向互联网。这使其可被任何人访问，而一旦成功入侵，就能提供通往内部系统的直接路径。攻击者也青睐它们，因为这些设备通常以广泛权限运行，并可能处理众多用户的凭据。
边缘设备也可能比笔记本电脑或服务器更难监控，因为它们可能不支持相同的安全代理。这一缺口给了攻击者更多不被发现地操作的时间。这种模式是攻击者转向攻击保护访问的基础设施这一更广泛趋势的一部分，这一主题也出现在我们对近期间谍活动中AI正从攻击助手转变为自主操作者的分析中，在那里速度和规模对攻击者有利。
这对你意味着什么
如果你是Ivanti Connect Secure的管理员，这是一项紧急任务：识别你的设备、打补丁，并检查入侵迹象。不要以为日志安静就代表设备干净。
如果你是企业VPN的员工或远程用户，你无法自行给网关打补丁，但你可以询问IT团队是否受影响以及修复是否已应用。在你的账户上使用强而唯一的密码和多因素认证，并报告任何意外的登录提示或账户警报。请注意，认证绕过可以绕过登录，因此这些习惯能降低风险，但不能替代打补丁。
如果你使用的是消费级VPN服务，这个特定问题涉及的是Ivanti的企业产品，而非消费级应用。但这仍是一个有益的提醒：任何面向互联网的远程访问系统都需要定期更新。
关键要点
- 将CVE-2026-104935的Ivanti Connect Secure零日补丁视为紧急事项，因为据报道攻击已在发生。
- 确认你哪些网关运行Ivanti Connect Secure，并对照Ivanti公告检查其版本。
- 即使在打补丁之后，也要审查日志和设备完整性以查找入侵迹象。
- 遵循CISA的指导和Ivanti的官方指示，因为它们会持续更新。
- 借此机会审视你的组织如何保护远程访问基础设施，包括管理界面的暴露情况和边缘设备的监控。
先打补丁，再调查，并持续关注：这个顺序能让你最有可能在这场威胁中保持领先。
