Ivanti Connect Secure bị khai thác chuỗi ba lỗ hổng zero-day để chiếm quyền root
"An attacker chained three zero-day vulnerabilities in Ivanti Connect Secure to achieve unauthenticated root command execution on a VPN appliance, with exploitation observed in the wild by Volexity. Ivanti has patched two flaws, including CVE-2026-104935 (authentication bypass plus RCE), while a third privilege-escalation issue remains unpatched; CISA marked exploitation as active and the technical impact as total."
Rủi ro chiếm quyền root trên VPN appliance, có dấu hiệu khai thác thực tế và CVE-2026-104935 đã bị lợi dụng cùng một lỗ hổng chưa vá.
Có thể ảnh hưởng đến truy cập từ xa, làm lộ thông tin xác thực và gây gián đoạn hạ tầng VPN; cần ưu tiên vá lỗi và điều tra sự cố.
Một cuộc tấn công đã kết hợp ba lỗ hổng zero-day trong Ivanti Connect Secure để thực thi lệnh với quyền root mà không cần đăng nhập, theo Volexity. Sự việc được ghi nhận trên một thiết bị VPN của khách hàng đã được vá đầy đủ và chạy version 22.8R2.4; tác nhân bị theo dõi là UTA0576 bắt đầu khai thác từ ngày 3/10.
Hai lỗ hổng đầu tiên đã được Ivanti vá, trong đó có CVE-2026-104935 với cơ chế bypass xác thực và thực thi mã từ xa. Lỗ hổng thứ ba là một vấn đề leo thang đặc quyền và hiện vẫn chưa có bản vá. CISA đánh dấu việc khai thác là active, còn tác động kỹ thuật là total.
Theo Volexity, dấu hiệu xâm nhập cần được xác minh bằng forensic mạng và forensic bộ nhớ, vì công cụ kiểm tra toàn vẹn có thể không phát hiện chuỗi khai thác này. Các chỉ dấu gồm yêu cầu lặp lại tới /dana-na/auth/url_default/welcome.cgi, header X-DSCGI-PATH, thư mục /data/.icscap/ và IP 108.165.147[.]64.
Khuyến nghị: nâng cấp ngay, chạy Integrity Checker Tool định kỳ, và kiểm tra khả năng bị lộ LDAP credentials hoặc hoạt động password spraying trong Active Directory.