Ivanti再修補兩個ICS漏洞，CISA已列入KEV警告出現相關攻擊

Ivanti於10月29日更新安全公告，為SSL VPN設備Ivanti Connect Secure（ICS）額外修補兩個漏洞，分別為CVE-2026-111357與CVE-2026-118527。美國網路安全與基礎設施安全局（CISA）隨即於10月30日將這兩個漏洞列入已遭利用漏洞清單（KEV），要求聯邦機構限期完成修補。

前述兩個漏洞分別涉及權限提升，以及可預測檔案名稱造成的檔案上傳問題。資安業者Volexity指出，攻擊者可將這兩個漏洞與10月13日已修補的另一漏洞CVE-2026-104935串連利用，結合身分驗證繞過、遠端程式碼執行及權限提升，在未經驗證的情況下取得設備root權限，進一步竊取網域憑證及Active Directory資料。

這兩個新漏洞的影響範圍，包括ICS 25.1.1.2及更早版本，以及22.8R2.5及更早版本，用戶應分別更新至25.1.1.3版，以及22.8R2.6版。