调查
Volexity 披露 UTA0576 链式利用 Ivanti Connect Secure 零日取得未认证 root，CISA 已列入 KEV
Volexity 于 10 月 13 日发布事件调查，称未知行为体 UTA0576 约自 10 月 3 日起对当时已打满补丁的 Ivanti Connect Secure（22.8R2.4）使用认证绕过、远程代码执行与权限提升组成的零日链，在未部署 webshell 或常驻后门的情况下获得未认证 root 级执行，并针对 LDAP/AD 凭据与机密开展后续活动；厂商将其中认证绕过与 RCE 记为 CVE-2026-104935，权限提升项称将另发补丁。CISA 同日将该 CVE 列入已知被利用漏洞（KEV）目录，并提醒完整性检查工具可能无法发现内存内执行痕迹，疑似失陷需网络与内存取证，并按厂商恢复流程重置后轮换凭据。10 月 19 日仍见 CERT-FR 等机构转发与技术社区讨论，昨日日抓取稿未收录，故补入。
跟你的关系对外暴露 Ivanti Connect Secure 的组织应核对是否已升至厂商公告中的修复版本，并在披露窗口内按 CISA/厂商指引评估是否需按失陷假设做取证与凭据轮换；仅依赖完整性检查工具不足以排除利用。
活动
Volexity 称利用约自 2026-10-03；调查约自 10-05；厂商与 CISA 公开披露为 10-13；后续通告与讨论延续至 10-19。
- 状态
- 已公开
- 行业
- 信息技术、政府与公共部门、专业服务
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。