Kẻ tấn công khai thác 3 lỗ hổng Ivanti Connect Secure để chiếm quyền root
"Ivanti Connect Secure (ICS) was targeted in an exploit chain involving CVE-2026-104935, CVE-2026-111357, and CVE-2026-118527, allowing attackers to achieve unauthenticated root access. The attackers, identified as UTA0576, focused on credential theft and reconnaissance. Patches are available in ICS versions 25.1.1.3 and 22.8R2.6."
Chuỗi lỗ hổng trong Ivanti Connect Secure cho phép kẻ tấn công đạt được quyền truy cập root mà không cần xác thực, gây ra rủi ro mất mát dữ liệu và chiếm quyền kiểm soát hệ thống.
Các doanh nghiệp sử dụng Ivanti Connect Secure có thể bị gián đoạn hoạt động và tổn thất tài chính do lỗ hổng bảo mật này. Việc vá lỗi kịp thời là rất quan trọng để giảm thiểu rủi ro.
Ivanti Connect Secure (ICS) bị tấn công thông qua chuỗi khai thác 3 lỗ hổng: CVE-2026-104935, CVE-2026-111357 và CVE-2026-118527, cho phép kẻ tấn công có quyền truy cập root mà không cần xác thực. Nhóm tấn công UTA0576 tập trung vào đánh cắp thông tin đăng nhập và trinh sát hệ thống.
CISA đã thêm CVE-2026-111357 và CVE-2026-118527 vào danh mục KEV (Known Exploited Vulnerabilities) do đã bị khai thác ngoài thực tế. CVE-2026-104935 đã được thêm vào KEV từ ngày 13 tháng 10 năm 2026.
Theo Volexity, chuỗi khai thác này kết hợp bỏ qua xác thực, thực thi mã từ xa (RCE) và leo thang đặc quyền để đạt được quyền truy cập root. UTA0576 không triển khai web shell hay malware như các cuộc tấn công khác, mà thay vào đó thu thập thông tin đăng nhập, metadata Active Directory, tìm kiếm mật khẩu quản trị viên và khóa khôi phục BitLocker.
Ivanti đã phát hành bản vá cho CVE-2026-111357 và CVE-2026-118527 trong các phiên bản ICS sau:
25.1.1.3 (sửa lỗi cho phiên bản 25.1.1.2 trở về trước) 22.8R2.6 (sửa lỗi cho phiên bản 22.8R2.5 trở về trước)
Ivanti cho biết đã phát triển bản sửa lỗi cho CVE-2026-104935 và đưa vào QA trước khi phát hiện lỗ hổng leo thang đặc quyền. Các cơ quan liên bang Mỹ phải vá CVE-2026-111357 trước ngày 2 tháng 11 năm 2026 và CVE-2026-118527 trước ngày 13 tháng 11 năm 2026. https://therecord.media/attackers-chain-three-ivanti-connect-secure-flaws-to-gain-unauthenticated-root-access
Câu hỏi thường gặp
CVE-2026-111357 là gì?
CVE-2026-111357 là lỗ hổng thiếu xác thực cho một chức năng quan trọng, cho phép kẻ tấn công leo thang đặc quyền nếu đã có quyền truy cập cục bộ.
CVE-2026-118527 có nguy hiểm không?
CVE-2026-118527 cho phép kẻ tấn công từ xa tải lên các tệp có nội dung do họ kiểm soát lên một vị trí đã biết trên đĩa, nhưng cần xác thực.
UTA0576 làm gì sau khi khai thác lỗ hổng?
UTA0576 thu thập thông tin đăng nhập, metadata Active Directory, tìm kiếm mật khẩu quản trị viên và khóa khôi phục BitLocker thay vì triển khai malware.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam sử dụng Ivanti Connect Secure cần kiểm tra và cập nhật lên phiên bản mới nhất ngay lập tức. Việc khai thác thành công chuỗi lỗ hổng này có thể dẫn đến lộ lọt thông tin nhạy cảm và chiếm quyền kiểm soát hệ thống. Điều đáng chú ý là Ivanti đã phát hiện một phần lỗ hổng này thông qua chương trình bảo mật sản phẩm của họ, cho thấy tầm quan trọng của việc chủ động tìm kiếm và vá các lỗ hổng bảo mật.