Ivanti 已为其 Connect Secure（ICS）远程访问网关中的另外两个漏洞发布了安全更新，该公司表示，自至少 10 月 1 日以来，这些漏洞已被串联用于零日攻击。如果你的组织运行该设备，那么这个 Ivanti Connect Secure 零日漏洞补丁是应优先处理的。

目前可获得的细节有限，因此本文仅坚持已报道的内容，并重点介绍依赖该网关的管理员和员工可采取的实际步骤。

Ivanti 修补了什么以及攻击何时开始

根据报道，Ivanti 发布了更新，涵盖 Connect Secure 中的另外两个漏洞，许多组织使用该远程访问网关让员工从办公室外部访问内部系统。这些漏洞被作为零日漏洞利用，意味着攻击者在修复程序存在之前就在使用它们。

关键的时间线细节是，攻击至少自 10 月 1 日以来一直在发生。“至少”这个词很重要：它表明这是迄今确认的最早活动，而不一定是第一次。在此期间运行未修补设备的组织应考虑自己可能已暴露的可能性，而不是假设仅靠修复就能了结此事。

这些漏洞还被串联利用，这意味着攻击者将它们组合起来，而不是依赖单个漏洞。这一细节决定了防御者应如何思考风险。

为什么 VPN 网关上的串联利用如此危险

远程访问网关位于网络边缘。它按设计可从互联网访问，并且被信任将外部用户连接到内部资源。这种组合使其成为高价值目标：成功的入侵可以在一个既暴露又连接良好的位置提供立足点。

串联利用使情况更加严重。一个漏洞可能给攻击者有限的访问权限，而第二个漏洞可以扩展该访问权限或将其转变为更强大的东西。两者结合使用时，两个单独来看可能各自可控的漏洞可以累加起来变成更大的问题。孤立地逐个排查每个漏洞的防御者可能会低估现实世界的影响。

这也是更广泛模式的一部分。我们早先关于 追踪为 CVE-2026-104935 的 Ivanti Connect Secure 身份验证绕过 的报道描述了同一产品中另一个已被用于攻击的漏洞。在同一网关中看到第二轮零日漏洞，凸显了为什么这些设备值得密切关注。

如何检查你的工作 VPN 网关是否已修补

如果你管理 Connect Secure，请从基础开始：

  • 确认你的设备版本。 检查当前运行的版本，并将其与 Ivanti 针对这两个漏洞的安全公告中列出的修复版本进行对比。
  • 审查你的更新历史。 验证更新是否实际已应用，并且设备是否已重启进入已修补的构建版本，而不仅仅是下载了更新。
  • 回溯到 10 月 1 日。 由于攻击至少可追溯到那一天，请审查自该时期以来的日志和任何完整性检查结果。
  • 检查相关修复。 确保较早的补丁也已到位，包括针对 CVE-2026-104935 问题的补丁。

如果你是员工而非管理员，你无法自行修补设备，但你可以询问你的 IT 或安全团队 Connect Secure 网关是否已收到最新更新。一个简短直接的问题既合理又通常受欢迎。

如果你的 Connect Secure 设备未更新该怎么办

在你的变更流程允许的情况下尽快应用补丁。由于这些漏洞正在被野外利用，等待常规维护窗口会带来真实风险。

在准备更新期间，考虑限制谁可以访问设备的管理界面，并遵循 Ivanti 提供的任何临时缓解指导。修补后，如果可用，请运行供应商的完整性检查工具，并查找异常会话、意外配置更改或你不认识的账户。如果你发现入侵迹象，请将其视为事件：隔离设备、保留日志，并在重置可能已通过网关的凭据之前联系你的事件响应团队。

这对你意味着什么

对于管理员来说，信息很直接：验证你的版本、打补丁，并调查自 10 月 1 日以来的时期。如果在更新之前已暴露，已修补的设备并不自动就是干净的。

对于公司 VPN 的日常用户来说，此问题无需在你自己的设备上安装任何软件，因为受影响的组件是网关。不过，这仍是使用强且唯一密码、在提供的情况下启用多因素身份验证，并报告任何异常情况（如意外登录提示或登录警报）的好时机。

关键要点

  • Ivanti 已为另外两个 Connect Secure 漏洞发布更新，这些漏洞自至少 10 月 1 日以来被串联用于零日攻击。
  • 远程访问网关是有吸引力的目标，因为它们面向互联网且受信任。
  • 串联漏洞可能比任何单个漏洞都更具破坏性。
  • 确认你的设备版本，立即应用 Ivanti Connect Secure 零日漏洞补丁，并审查自 10 月 1 日以来的活动。
  • 有关持续模式的背景信息，请阅读我们早先关于 CVE-2026-104935 身份验证绕过 的报道。

如果你使用或管理 Ivanti Connect Secure，请今天检查你的版本并立即应用更新。