Ivanti vá thêm hai lỗ hổng zero-day bị khai thác trong chuỗi tấn công Connect Secure

Ivanti vừa phát hành bản vá cho hai lỗ hổng zero-day mới trong sản phẩm VPN Connect Secure (ICS). Điều đáng chú ý là hai lỗi này đã bị tin tặc kết hợp với một lỗ hổng khác mà hãng công bố cách đây khoảng một tháng, tạo thành chuỗi tấn công hoàn chỉnh nhắm vào các tổ chức sử dụng sản phẩm này.

Minh họa lỗ hổng bảo mật trên VPN Ivanti

Hai lỗ hổng mới và cách chúng bị lợi dụng

Hai lỗ hổng được vá lần này có mã CVE-2026-111357 và CVE-2026-118527. Ivanti đã bổ sung chúng vào bản tư vấn bảo mật ngày 13/10, vốn trước đó chỉ đề cập tới CVE-2026-104935 — một lỗi vượt qua xác thực trong sản phẩm VPN.

Theo Ivanti, các cuộc tấn công kết hợp cả ba lỗ hổng đã ảnh hưởng tới một số lượng hạn chế khách hàng vào thời điểm chúng bị phát hiện.

• CVE-2026-111357 có điểm CVSS 8.8, xuất phát từ việc thiếu xác thực đối với một chức năng quan trọng. Lỗ hổng cho phép kẻ tấn công đã xác thực và có quyền truy cập cục bộ nâng quyền hạn của mình. Đây chính là lỗi leo thang đặc quyền zero-day mà thời điểm tấn công bùng phát chưa có bản vá.

• CVE-2026-118527 có điểm CVSS 4.3, liên quan đến việc tạo ra các định danh có thể đoán trước. Kẻ tấn công đã xác thực có thể khai thác từ xa để tải lên các tệp có nội dung tùy ý vào một vị trí lưu trữ đã biết trước.

Hai lỗ hổng ảnh hưởng tới các phiên bản ICS 25.1.1.2 và các bản cũ hơn, cùng 22.8R2.5 và các bản cũ hơn. Bản vá được tích hợp trong phiên bản 25.1.1.3 và 22.8R2.6.

"Bản phát hành mới nhất xử lý tất cả các lỗ hổng từng bị kết hợp và khai thác trong thực tế", Ivanti cho biết.

Điều này đồng nghĩa các tổ chức đã cập nhật lên phiên bản 25.1.1.2 hoặc 22.8R2.5 theo khuyến nghị ban đầu sẽ phải nâng cấp thêm một lần nữa.

Vì sao bản vá đầu tiên được tung ra sớm

Ivanti cho hay vào thời điểm phát hiện các cuộc tấn công, bản vá cho CVE-2026-104935 đang trong quá trình kiểm định chất lượng. Khi lỗi leo thang đặc quyền được nhận diện, hãng quyết định phát hành bản vá đó mà không chờ đợi, bởi nó đã đóng lại con đường khai thác chính.

Trước đó, Ivanti từng cho biết một phần lỗ hổng đã được phát hiện qua chương trình bảo mật sản phẩm của hãng và được vá trong phiên bản 25.1.3.0 phát hành hồi tháng 7. Các cuộc tấn công diễn ra trong lúc hãng vẫn đang đưa bản vá đó tới những phiên bản còn được hỗ trợ.

CISA đưa vào danh mục KEV

Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) đã bổ sung hai lỗ hổng mới vào danh mục Lỗ hổng bị khai thác thực tế (KEV). Các cơ quan liên bang được yêu cầu xử lý CVE-2026-111357 trước ngày 2/11 và CVE-2026-118527 trước ngày 13/11. Riêng CVE-2026-104935 đã nằm trong KEV từ ngày 13/10.

Chuyên gia phân tích bảo mật

Kẻ tấn công chưa được nhận diện

Hãng bảo mật Volexity đã phát hiện việc khai thác trong thực tế khi điều tra một sự cố tại khách hàng của mình. Họ quy hoạt động này cho một nhóm tấn công chưa từng được biết đến, có mã theo dõi UTA0576.

Bằng cách kết hợp ba lỗ hổng zero-day, tin tặc đã đạt được khả năng thực thi mã từ xa mà không cần xác thực, với quyền root trên một thiết bị ICS vốn đã được vá đầy đủ vào thời điểm đó. Mục tiêu chính của chúng là đánh cắp thông tin xác thực, tuồn dữ liệu ra ngoài, quét mạng và chỉnh sửa nhật ký (log).

Volexity đánh giá với độ tin cậy thấp rằng UTA0576 có động cơ tội phạm thay vì là một nhóm gián điệp. Hãng ghi nhận dấu hiệu khai thác đầu tiên vào ngày 3/10. Tuy nhiên, công ty tình báo mối đe dọa Defused lại báo cáo rằng các cuộc tấn công mà họ cho là nhắm vào CVE-2026-104935 đã đánh trúng các hệ thống mồi của họ từ ngày 1/10, tức trước khi lỗ hổng được công bố.

Hàm ý đối với doanh nghiệp Việt Nam

Sự cố này là lời nhắc nhở quen thuộc với các tổ chức vận hành thiết bị VPN biên — nhóm thiết bị thường được đặt trực tiếp trên Internet và vì thế luôn là mục tiêu ưa thích của tin tặc. Với các doanh nghiệp Việt Nam đang dùng Ivanti Connect Secure cho truy cập từ xa, việc kiểm tra phiên bản hiện tại và nâng cấp lên 25.1.1.3 hoặc 22.8R2.6 nên được ưu tiên ngay, kể cả khi trước đó đã áp dụng bản vá đợt 13/10.

Bên cạnh việc cập nhật, các đội ngũ vận hành nên rà soát nhật ký truy cập trong khoảng thời gian từ đầu tháng 10 trở lại đây để phát hiện dấu hiệu hành vi bất thường, đồng thời xoay vòng toàn bộ thông tin xác thực và chứng chỉ trên thiết bị nếu nghi ngờ đã bị xâm nhập.

Bài học từ chuỗi tấn công lần này: một bản vá đơn lẻ có thể chưa đủ, bởi tin tặc luôn tìm cách ghép nhiều lỗi nhỏ thành một đường tấn công lớn.