Ivanti vá hai lỗ hổng bảo mật trong Neurons for ITSM

Ivanti đã tung ra bản cập nhật quan trọng cho giải pháp Neurons for ITSM nhằm xử lý hai lỗ hổng bảo mật với mức độ nghiêm trọng trung bình, ảnh hưởng đến cả các hệ thống triển khai tại cơ sở (on-premises) và trên nền tảng đám mây.

Ivanti Security

Lỗ hổng đầu tiên, được theo dõi dưới mã định danh CVE-2026-4913 (điểm CVSS 5.7), được mô tả là lỗi bảo vệ không đầy đủ đối với một đường dẫn thay thế. Theo thông tin từ nhà sản xuất, lỗi này có thể cho phép "một kẻ tấn công đã xác thực từ xa duy trì quyền truy cập vào hệ thống ngay cả khi tài khoản của họ đã bị vô hiệu hóa".

Lỗ hổng thứ hai, mang mã số CVE-2026-4914 (điểm CVSS 5.4), là một vấn đề liên quan đến lỗi Cross-site scripting (XSS) được lưu trữ. Kẻ tấn công có thể khai thác lỗi này từ xa để thu thập thông tin hạn chế từ các phiên làm việc của người dùng khác. Tuy nhiên, Ivanti lưu ý rằng việc khai thác thành công lỗ hổng này yêu cầu kẻ tấn công phải có quyền xác thực và sự tương tác của người dùng.

Khuyến cáo từ nhà sản xuất

Cả hai lỗ hổng nêu trên đều đã được khắc phục hoàn toàn trong phiên bản Ivanti Neurons for ITSM 2025.4. Công ty khuyến cáo người dùng và quản trị viên hệ thống nên thực hiện việc cập nhật càng sớm càng tốt để đảm bảo an toàn.

"Khách hàng sử dụng giải pháp đám mây không cần thực hiện hành động nào vì bản vá đã được tự động áp dụng cho tất cả các môi trường đám mây vào ngày 12 tháng 12 năm 2025," đại diện Ivanti cho biết.

Hiện tại, nhà sản xuất chưa phát hiện thấy bằng chứng cho thấy hai lỗ hổng này đang bị khai thác thực tế (in-the-wild). Không có sản phẩm nào khác trong hệ sinh thái của Ivanti chịu ảnh hưởng bởi các vấn đề bảo mật vừa được khắc phục này.

Ngoài ra, trong bản thông báo cập nhật mới nhất, Ivanti cũng đã đề cập lại đến hai lỗ hổng OpenSSH CVE-2025-26465 và CVE-2025-26466 vốn được công bố vào tháng 2 năm 2026. Công ty xác định các sản phẩm Ivanti EPMM, Sentry và Connector không chịu ảnh hưởng bởi hai lỗi này, nhưng phiên bản OpenSSH được cập nhật sẽ được tích hợp trong các bản phát hành tương lai.