Ivanti ICS兩漏洞列KEV：管理員應先核對版本與入侵風險
iThome 報道指出，Ivanti 在10月29日為 SSL VPN 產品 Ivanti Connect Secure（ICS）補上兩個漏洞：CVE-2026-111357 及 CVE-2026-118527。CISA 其後在10月30日把兩者加入已遭利用漏洞清單（KEV），反映漏洞已有實際攻擊風險；不過，KEV 收錄本身不等同每一個使用 ICS 的機構均已遭入侵。
對以 ICS 提供 VPN 或遙距存取的企業、學校和機構而言，重點不只在於安裝更新。iThome 引述資安公司 Volexity 指出，攻擊者可把這兩個漏洞，與10月13日已修補的 CVE-2026-104935 串連：利用身分驗證繞過、遙距執行程式碼及權限提升，最終毋須通過驗證便取得設備的 root 權限。若此攻擊鏈成立，風險可延伸至網域憑證及 Active Directory（AD）資料。
先確認受影響版本，並升級至指定版本
iThome 指出，受影響範圍如下：
| ICS 版本分支 | 受影響版本 | 應更新版本 |
|---|---|---|
| 25.1 | 25.1.1.2 或更早版本 | 25.1.1.3 |
| 22.8 | 22.8R2.5 或更早版本 | 22.8R2.6 |
管理員宜先在 ICS 管理介面及既有資產紀錄核對實際版本，避免只按採購或部署文件判斷。若設備仍處於上述範圍，應按機構既定變更程序盡快更新；同時記錄更新時間、設備角色及曾提供的遙距存取服務，方便後續審視。
更新後仍要排查是否已被利用
由於 CISA 已把兩個 CVE 列入 KEV，補丁主要是堵塞後續攻擊面，未必能自行清除更新前可能留下的存取權。這是根據已知攻擊路徑作出的防禦分析，而非指任何個別機構必然失守。
排查時可優先圍繞高權限後果處理：檢視 ICS 的管理及系統紀錄是否出現異常登入、未預期的設定改動或可疑檔案上傳；並核對與設備相連帳戶的權限使用情況。若發現可疑跡象，應按事故應變流程保全紀錄、限制受影響設備的存取，並擴大調查範圍。
憑證與AD資料須視作可能受影響資產
iThome 所述的攻擊鏈可導致網域憑證及 AD 資料被竊，因此調查不能只停留在 VPN 設備。機構可盤點 ICS 涉及的管理帳戶、服務帳戶及網域整合安排，檢視是否需要按內部事故程序重設憑證、撤銷或更換相關存取資料，以及追查 AD 內有否異常帳戶活動或權限變更。
下一步值得留意的是，Ivanti 或 CISA 有否披露更多利用細節及修補指引。對仍未完成版本核對的 ICS 用戶，這輪處理的優先次序應是：確認版本、完成更新，再按設備曾接觸的身份系統與網域資產評估調查深度。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — Ivanti再修補兩個ICS漏洞，CISA已列入KEV警告出現相關攻擊 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
