Ivanti vá lỗi zero-day trên Connect Secure sau khi ghi nhận tấn công thực tế
"Ivanti released updates for Connect Secure to address CVE-2026-104935, an authentication bypass vulnerability rated 8.6 CVSS that enables remote unauthenticated command execution. Researchers confirmed in-the-wild exploitation by a tracked threat actor, with observed post-exploitation activity focused on credential theft, data exfiltration, log tampering, and reconnaissance; Ivanti also said a separate privilege-escalation flaw will be fixed in a later update."
Rủi ro cao do khai thác zero-day, cho phép thực thi lệnh từ xa không cần xác thực và có thể dẫn tới xâm nhập sâu hơn vào mạng nội bộ.
Có thể ảnh hưởng đến tính sẵn sàng của VPN/remote access, phát sinh chi phí ứng phó sự cố và nguy cơ rò rỉ dữ liệu nếu hệ thống bị xâm nhập.
Ivanti đã phát hành bản cập nhật cho Connect Secure (ICS) để khắc phục CVE-2026-104935, một lỗi authentication bypass có điểm CVSS 8.6 cho phép kẻ tấn công không cần xác thực thực thi lệnh từ xa. Theo hãng, đã có dấu hiệu khai thác trong thực tế trên một số khách hàng tại thời điểm công bố.
Các phiên bản bị ảnh hưởng gồm 25.1.1.1 trở về trước, 25.1.2.2 trở về trước và 22.8R2.4 trở về trước. Ivanti khuyến nghị khách hàng cập nhật ngay, đồng thời chạy Ivanti Integrity Checker Tool thường xuyên và đối chiếu với các chỉ báo xâm nhập từ báo cáo của Volexity.
Volexity cho biết nhóm tấn công được theo dõi với mã UTA0576 có dấu hiệu nhắm tới đánh cắp thông tin xác thực, trích xuất dữ liệu, chỉnh sửa log và trinh sát mạng. Chưa ghi nhận việc triển khai malware hay web shell, nhưng hoạt động sau khai thác cho thấy khả năng chuẩn bị cho di chuyển ngang trong mạng nội bộ.
Ivanti cũng xác nhận còn một lỗi leo thang đặc quyền riêng biệt sẽ được vá trong vài tuần tới. Tổ chức đang vận hành Connect Secure nên ưu tiên kiểm tra tình trạng bị xâm nhập, rà soát log và cô lập hệ thống nếu phát hiện dấu hiệu bất thường.