Chuỗi lỗ hổng zero-day trong Ivanti cho phép kẻ tấn công chiếm quyền root trên VPN đã vá đầy đủ

Một lỗ hổng zero-day mới mang mã định danh CVE-2026-104935 vừa được phát hiện trong Ivanti Connect Secure — dòng thiết bị VPN phổ biến được nhiều doanh nghiệp và tổ chức sử dụng để bảo vệ truy cập từ xa. Điều khiến sự việc trở nên nghiêm trọng là kẻ tấn công có thể lợi dụng chuỗi khai thác này để thực thi mã từ xa mà không cần xác thực (unauthenticated remote code execution), đồng thời leo thang lên quyền root trên hệ thống.

Điểm đáng lo ngại nhất: thiết bị đã vá vẫn bị xâm nhập

Khác với phần lớn các vụ tấn công thông thường chỉ nhắm vào hệ thống chưa cập nhật, chuỗi zero-day này được ghi nhận có thể xuyên thủng cả những thiết bị đã được vá đầy đủ. Đây là dấu hiệu cho thấy lỗ hổng chưa được nhà sản xuất biết đến tại thời điểm bị khai thác, và các biện pháp phòng vệ dựa trên bản vá thông thường tỏ ra không đủ.

Việc chiếm được quyền root trên một thiết bị VPN biên (edge device) đặc biệt nguy hiểm, bởi đây là điểm truy cập trung tâm vào toàn bộ hạ tầng mạng nội bộ của doanh nghiệp.

Vì sao lỗ hổng này đặc biệt nguy hiểm?

• Không cần xác thực: Kẻ tấn công không cần tài khoản hợp lệ để bắt đầu khai thác, giảm đáng kể rào cản tấn công.

• Thực thi mã từ xa: Cho phép chạy mã độc tùy ý trên thiết bị bị ảnh hưởng.

• Leo thang đặc quyền: Đạt quyền root, nghĩa là toàn quyền kiểm soát hệ thống.

• Vượt qua bản vá: Ngay cả hệ thống đã cập nhật vẫn có thể bị xâm nhập.

• Vị trí chiến lược: Thiết bị VPN nằm ở rìa mạng, là bàn đạp lý tưởng để tấn công sâu vào nội bộ.

Các thiết bị biên như VPN, tường lửa và cổng truy cập từ xa từ lâu đã trở thành mục tiêu ưu tiên của các nhóm tấn công có động cơ tài chính và gián điệp mạng, bởi chỉ cần một điểm xâm nhập là có thể mở toang cả hệ thống.

Bối cảnh và khuyến nghị cho doanh nghiệp

Đây không phải lần đầu Ivanti Connect Secure nằm trong tầm ngắm của giới tấn công. Dòng sản phẩm này từng là tâm điểm của nhiều chiến dịch khai thác quy mô lớn trong quá khứ, khiến các chuyên gia bảo mật đặc biệt chú ý mỗi khi xuất hiện lỗ hổng mới.

Đối với các tổ chức tại Việt Nam đang vận hành Ivanti Connect Secure — đặc biệt là các doanh nghiệp, ngân hàng và cơ quan có hệ thống truy cập từ xa quy mô lớn — đây là lời cảnh báo cần được xử lý khẩn cấp.

Các bước cần thực hiện ngay:

• Theo dõi thông báo chính thức từ Ivanti để cập nhật bản vá hoặc biện pháp giảm thiểu mới nhất.

• Rà soát log truy cập bất thường trên thiết bị VPN, đặc biệt các phiên đăng nhập lạ hoặc hành vi leo thang đặc quyền.

• Áp dụng mô hình zero trust, không mặc định tin tưởng thiết bị biên dù đã vá.

• Cân nhắc giải pháp phát hiện và phản hồi mở rộng (XDR/EDR) cho lớp thiết bị mạng.

• Cô lập và kiểm tra ngay nếu phát hiện dấu hiệu bị xâm nhập.

Kết luận

CVE-2026-104935 là hồi chuông cảnh tỉnh rằng việc vá lỗ hổng không còn là tấm khiên tuyệt đối. Khi kẻ tấn công có thể chiếm quyền root trên thiết bị VPN đã cập nhật đầy đủ, các tổ chức buộc phải chuyển từ tư duy "vá xong là an toàn" sang giám sát liên tục, phát hiện xâm nhập chủ động và kiến trúc phòng thủ nhiều lớp. Với vị trí then chốt của thiết bị VPN trong hạ tầng doanh nghiệp, đây là ưu tiên bảo mật không thể trì hoãn.