先說結論：使用 Ivanti Connect Secure 提供遠端連線的組織，今天應立即讀出每台設備的完整版本與建置號，依產品支線套用適當安全更新，並對可能曾遭攻擊的設備啟動事件調查。Connect Secure 是讓員工從外部連入組織系統的安全閘道；一旦閘道本身被控制，後續內部帳號及系統也可能面臨風險。美國 CISA 於二○二六年十月十三日將 CVE-2026-104935 納入已知遭利用漏洞目錄，表示有可靠的實際利用證據，不是只根據技術上可行而推測。這個漏洞允許未登入的遠端攻擊者在受影響的裝置執行指令。更新可以封堵已知入口，卻不能替代對先前入侵的鑑識；十月十四日重新查核的原始資料也顯示，事件中的另一項權限提升問題當時尚待原廠另行修補。
背景與前因：Ivanti Connect Secure 常設在企業網路與外部使用者之間，處理登入及安全連線。十月十三日公布的 CVE 原始紀錄由 Ivanti 作為編號分配機構提交，將問題歸類為透過偽裝繞過身分驗證，嚴重程度為 CVSS 第三版 8.6 分。CVSS 是描述漏洞技術嚴重程度的評分，不能單靠分數判斷某一家機構是否已受害。CISA 同日新增目錄項目，將『已知遭利用』列為處置優先訊號。荷蘭國家網安中心也在當天發出公開警示，指出無須登入即可在受影響設備執行指令，並提醒已知利用發生在公開揭露之前。以上資料說明事件不是單純的例行更新；但目錄收錄也不是所有 Connect Secure 設備都遭入侵的證據。
原因與前置條件：Ivanti 提交的 CVE 紀錄描述了身分驗證繞過與遠端指令執行的結果。所謂驗證繞過，是未獲授權者在沒有有效帳號密碼的情況下，仍能接觸本來應受保護的功能。事故調查機構 Volexity 的原始報告進一步指出，它在十月初調查一台當時已更新至 22.8R2.4 的設備時，重建了攻擊者實際使用的多段問題：先繞過驗證，再利用另一個遠端執行問題，最後透過獨立的權限提升缺陷取得更高系統權限。遠端執行意指攻擊者能使裝置運作未授權程式；權限提升則是取得原本不該有的更高系統權限。報告說前兩段合併列在 CVE-2026-104935 之下，第三段仍是另一個待修問題，不能把三段都寫成同一項 CVE 已由單一更新完全解決。
Volexity 表示，調查在十月五日開始，重建的活動可追溯至十月三日。研究者是在具體客戶事件中觀察到攻擊鏈，並非只在實驗室中證明程式可能被利用；但公開報告詳述的是其調查的案件，無法據此推算全球受害設備數。該報告描述攻擊者嘗試取得目錄服務帳號與其他憑證、收集設備設定資料，並做內部網路探索。這些是該事件的取證發現，不應改寫成每一家仍運作舊版的機構都發生相同後果。Volexity 對攻擊者是否使用人工智慧工具也有信心程度有限的評估；本文不把這類推測當成修補決策的必要前提。對維運者真正重要的是可確認的版本、已知入口及保留事件證據的能力。
影響範圍：荷蘭國家網安中心的公告把受影響範圍按支線分列：22.8 支線至 22.8R2.4、25.1.1 支線至 25.1.1.1，以及 25.1.2 支線至 25.1.2.2。該中心列出的對應修正版分別為 22.8R2.5、25.1.1.2，以及 25.1.3.0 或 25.1.3.1；原廠提交的 CVE 原始紀錄亦把 22.8R2.5、25.1.3.0、25.1.3.1 標為不受此編號影響。舊的 22.7R2.14 及更早版本，原始紀錄明確說明不受這項漏洞影響。這不代表舊版整體安全，也不表示可以跳過其他更新；只是不能把此次編號的影響範圍無限制擴張。不同產品支線不應用簡單字串大小比較，應按原廠的分支更新指引與設備相容性決定路徑。
還要把『漏洞修補』與『事件復原』分開。Volexity 表示，十月十三日提供的更新修補的是列入 CVE-2026-104935 的驗證繞過與遠端執行問題；它觀察到的第三項權限提升問題，當時仍由 Ivanti 準備後續修補。這個殘留問題本身並不等同於同一條免登入入口仍然存在，也不代表更新沒有作用，但維運團隊應持續追蹤原廠後續公告，不能以『已升級』四字結束評估。若設備此前遭到入侵，攻擊者可能已接觸憑證或內部資產；軟體更新不會自動撤銷已外洩的權限、還原被改動的系統或清除所有調查線索。
CISA 的原始目錄列出十月十三日新增與十月十六日的處置期限，並要求按供應商指示緩解及進行適用的鑑識分流。這項期限與其美國聯邦機關政策有關，不可寫成台灣每個企業都有相同法定最後期限。目錄中的勒索軟體關聯欄為未知，不能因此推論這次事件必然由勒索集團執行。將 CISA 的收錄狀態、CVE 的技術敘述、荷蘭政府的版本對照與 Volexity 的事件調查放在一起看，才能得到較精確的結論：漏洞有實際利用，相關設備應急迫更新；但每一台設備是否被碰觸、後續影響有多大，仍須靠本地證據釐清。
你可以怎麼做：首先盤點所有正式、備援與測試環境的 Connect Secure 設備，記錄產品名稱、完整版本、建置號、對外接觸面、維護窗口與負責人。從設備自身讀回運作版本，不以採購清單、下載的安裝包或『已派工』當作完成更新的證據。依目前支線選擇原廠建議的修正版；荷蘭國家網安中心指出，22.8 使用者若可遷移，宜轉向適當的新支線，而 22.8R2.5 是修補這個編號的對應版本。部署前保留可用的設定備份與回復方式，部署後再次核對版本，測試正常登入、遠端連線與關鍵業務流程，並確認高可用節點沒有漏升。對無法立即更新的設備，應依原廠最新指引評估暫行控制，明定期限與責任人，不把暫行限制當作永久修補。
其次，若設備位於受影響區間，或出現不尋常的管理登入、設備向內部目錄服務發出的異常活動與其他入侵跡象，應啟動授權事件應變。先保存可取得的網路、身分驗證與設備記錄，避免在未取證前任意清除環境。Volexity 說明，該案例的攻擊者曾嘗試刪除部分日誌，且由於部分更動主要發生在記憶體中，Ivanti 的完整性檢查工具未必能檢出這種入侵。因此，工具顯示未發現異常，不能單獨作為『未遭攻擊』的證明；應讓具備權限的應變人員依網路與記憶體等證據綜合判斷。若調查顯示憑證可能外洩，還需依範圍處理帳號與信任關係，而非只重啟或升級閘道。
本文沒有提供可重現漏洞的請求內容、程式碼或攻擊步驟。公開資訊目前能確認的是：Ivanti 分配的編號對應免登入指令執行問題，CISA 已將其列為遭利用漏洞，Volexity 有實際事件取證，且多個官方來源給出應更新的版本邊界。仍未能從公開資料直接回答的，是每個組織是否仍使用受影響建置、先前是否留下可信入侵跡象、哪些憑證可能被碰觸，以及後續權限提升修補何時適用於其設備。把資產盤點、更新驗證、事件調查和持續追蹤分成可查核的工作項目，才不會把一次套用修補程式誤認為風險已全部消失。
官方來源：
- Known Exploited Vulnerabilities Catalog, CVE-2026-104935（美國網路安全暨基礎設施安全局 CISA）
- CVE-2026-104935 original CNA record（CVE Program（Ivanti CNA））
- A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days（Volexity）
- Zero-day kwetsbaarheid in Ivanti Connect Secure: update direct（荷蘭國家網路安全中心 NCSC）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。