Ivanti vá lỗ hổng zero-day trên Connect Secure sau khi bị khai thác thực tế

Ivanti vừa phát hành bản cập nhật cho Connect Secure (ICS) nhằm khắc phục lỗ hổng zero-day CVE-2026-104935, sau khi các nhà nghiên cứu xác nhận kẻ tấn công đã khai thác lỗ hổng này trong thực tế. Đây là lỗ hổng bỏ qua xác thực (authentication bypass) có điểm CVSS 8.6, cho phép kẻ tấn công từ xa, không cần xác thực, thực thi lệnh tùy ý trên thiết bị bị ảnh hưởng.

Mức độ nghiêm trọng và phạm vi ảnh hưởng

Lỗ hổng CVE-2026-104935 được phát hiện bởi nhóm nghiên cứu bảo mật Volexity. Theo khuyến cáo từ Ivanti, các phiên bản bị ảnh hưởng bao gồm:

• Nhánh 25.1.1.1 và các bản cũ hơn
• Nhánh 25.1.2.2 và các bản cũ hơn
• Nhánh 22.8R2.4 và các bản cũ hơn

Ivanti cho biết họ từng phát hiện "một phần của lỗ hổng này" và đã vá trong bản cập nhật 25.1.3.0 hồi tháng 7, đồng thời đang nỗ lực backport bản vá tương tự cho các phiên bản cũ. Tuy nhiên, kẻ tấn công đã bắt đầu khai thác trước khi quá trình này hoàn tất.

"Chúng tôi biết được tình trạng khai thác trong thực tế ảnh hưởng đến một số lượng hạn chế khách hàng tại thời điểm công bố", Ivanti cho biết trong khuyến cáo của mình.

Hiện có rất ít dấu hiệu xâm nhập (IoC) được công bố, và Ivanti khuyến nghị khách hàng tham khảo báo cáo của Volexity để biết thêm chi tiết, đồng thời chạy công cụ Ivanti Integrity Checker Tool thường xuyên để kiểm tra thiết bị.

Chiến dịch tấn công UTA0576

Volexity cho biết nhóm tấn công đứng sau các vụ xâm nhập gần đây chưa từng được nhóm nghiên cứu này biết đến trước đó, và hiện được theo dõi với mã UTA0576. Cơ quan này nghi ngờ động cơ tội phạm hơn là gián điệp.

Dựa trên các hoạt động sau khai thác được quan sát, kẻ tấn công có vẻ quan tâm nhất đến việc:

• Đánh cắp thông tin xác thực (credential theft)
• Đánh cắp dữ liệu (data exfiltration)
• Sửa đổi nhật ký (log tampering)
• Trinh sát mạng (network reconnaissance)

Đáng chú ý, kẻ tấn công không triển khai mã độc cũng không cài web shell, mà chỉ sử dụng các lệnh có sẵn trên thiết bị ICS.

"Vì chiến dịch đã bị phát hiện và ngăn chặn, mục tiêu cuối cùng của kẻ tấn công không thể được xác định. Tuy nhiên, Volexity đánh giá với độ tin cậy cao rằng các hành động của UTA0576 là dấu hiệu chuẩn bị cho việc di chuyển ngang (lateral movement) và xâm phạm mạng lưới nạn nhân trên diện rộng hơn."

Các nhà nghiên cứu cũng nghi ngờ kẻ tấn công đã sử dụng mô hình ngôn ngữ lớn (LLM) để hỗ trợ chiến dịch. Bằng chứng là việc chúng liên tục dùng kênh khai thác để chạy lệnh thay vì triển khai web shell, cùng việc sử dụng "các script có độ đặc thù cao với thông tin xác thực được mã hóa cứng".

Chuỗi ba lỗ hổng

Ivanti chỉ công bố một CVE, nhưng Volexity mô tả một chuỗi tấn công gồm ba lỗ hổng. Bản cập nhật ngày thứ Ba giải quyết hai giai đoạn đầu: bỏ qua xác thực và thực thi mã từ xa.

Lỗ hổng thứ ba, cho phép leo thang đặc quyền (privilege escalation), là vấn đề riêng biệt, không nằm trong phạm vi CVE-2026-104935. Volexity cho biết Ivanti đã biết về lỗi bổ sung này và dự kiến phát hành bản vá "trong vài tuần tới".

Ba năm liên tiếp bị khai thác zero-day

Việc công bố lỗ hổng zero-day lần này đánh dấu năm thứ ba liên tiếp Ivanti phải đối phó với việc kẻ tấn công khai thác các lỗ hổng chưa được tiết lộ trên Connect Secure.

• Các lỗ hổng zero-day ICS trước đó được công bố vào tháng 1 năm 2025
• Trước đó một năm, các lỗ hổng tháng 1 năm 2024 đã dẫn đến các cuộc khai thác ảnh hưởng đến hàng nghìn thiết bị ICS
• Trong khoảng thời gian giữa, các nhóm gián điệp bị nghi ngờ có nguồn gốc từ Trung Quốc cũng khai thác lỗi trong Endpoint Manager Mobile (EPMM) và các lỗ hổng nghiêm trọng trong Sentry

Chuỗi zero-day tháng 1 của Ivanti tiếp tục vào đầu năm nay, dù lần đó các lỗ hổng ảnh hưởng đến EPMM chứ không phải Connect Secure.

Khuyến nghị cho người dùng và doanh nghiệp

Đối với các tổ chức tại Việt Nam đang sử dụng Ivanti Connect Secure — đặc biệt là các doanh nghiệp, tổ chức tài chính và cơ quan nhà nước có hệ thống VPN từ xa — việc cập nhật lên phiên bản mới nhất là ưu tiên cấp bách. Bên cạnh đó, cần:

• Chạy Ivanti Integrity Checker Tool để kiểm tra dấu hiệu xâm nhập
• Giám sát chặt chẽ nhật ký hệ thống để phát hiện các lệnh bất thường
• Xem xét lại quyền truy cập và xoay vòng thông tin xác thực nếu nghi ngờ bị xâm phạm
• Theo dõi khuyến cáo tiếp theo của Ivanti về lỗ hổng leo thang đặc quyền thứ ba

Với việc các thiết bị bảo mật mạng như VPN gateway ngày càng trở thành mục tiêu ưu tiên của tội phạm mạng, các quản trị viên hệ thống cần đặt việc vá lỗ hổng và giám sát liên tục lên hàng đầu trong quy trình vận hành.