Tin tặc kết hợp ba lỗ hổng Ivanti Connect Secure để chiếm quyền root không cần xác thực

CISA đã bổ sung hai lỗ hổng bảo mật ảnh hưởng tới Ivanti Connect Secure (ICS) vào danh mục Các lỗ hổng bị khai thác đã biết (KEV) sau khi ghi nhận hoạt động khai thác thực tế. Hai lỗ hổng này là một phần trong chuỗi khai thác ba lỗ hổng từng được Volexity ghi nhận trước đó, gắn với nhóm tấn công chưa từng được tài liệu hóa có tên UTA0576.

Ba lỗ hổng trong chuỗi khai thác

• CVE-2026-111357 (điểm CVSS 8.8): lỗi thiếu xác thực ở một chức năng quan trọng, cho phép kẻ tấn công đã xác thực cục bộ nâng quyền.
• CVE-2026-118527 (điểm CVSS 4.3): lỗi sinh số hoặc định danh có thể dự đoán được, cho phép kẻ tấn công đã xác thực từ xa tải tệp có nội dung do kẻ tấn công kiểm soát lên một vị trí đã biết trên ổ đĩa.
• CVE-2026-104935 (điểm CVSS 8.6): lỗi bỏ qua xác thực, đã được thêm vào KEV ngày 13/10/2026.

Theo Volexity, chuỗi khai thác kết hợp bỏ qua xác thực, thực thi mã từ xa (RCE) và nâng quyền, dẫn tới thực thi mã ở mức root mà không cần xác thực.

Mục tiêu của nhóm tấn công

Khác với nhiều vụ tấn công thường lợi dụng lỗ hổng để cài web shell hoặc mã độc, UTA0576 được quan sát là dùng các lỗ hổng để trích xuất thông tin đăng nhập và một phần siêu dữ liệu Active Directory, trinh sát máy chủ, đồng thời tìm kiếm mật khẩu quản trị viên và khóa khôi phục BitLocker.

Phản hồi của Ivanti

Ivanti cho biết vào thời điểm thông tin được công bố, hãng vẫn đang phát triển bản vá cho lỗ hổng nâng quyền cục bộ (LPE) bị khai thác trong chuỗi tấn công. Bản vá cho cả CVE-2026-111357 và CVE-2026-118527 hiện đã có trong các phiên bản ICS sau:

• 25.1.1.2 và trước đó (đã vá trong 25.1.1.3)
• 22.8R2.5 và trước đó (đã vá trong 22.8R2.6)

Theo Ivanti, khi phát hiện hoạt động khai thác, hãng đã có bản vá cho CVE-2026-104935 đang trong giai đoạn QA cho các phiên bản được hỗ trợ, và quyết định không trì hoãn việc cung cấp bản vá xử lý đường khai thác chính cho khách hàng. Do đó trọng tâm ban đầu là công bố CVE-2026-104935 và bảo vệ khách hàng nhanh nhất có thể. Hãng cũng cho biết đã phát hiện một phần lỗ hổng này trong chương trình bảo mật sản phẩm và vá trong bản phát hành 25.1.3.0 hồi tháng 7, đồng thời đang backport bản vá sang các phiên bản được hỗ trợ khác khi hoạt động khai thác xảy ra.

Bản phát hành mới nhất xử lý toàn bộ các lỗ hổng từng bị kết hợp và khai thác thực tế. Các cơ quan thuộc nhánh dân sự liên bang Mỹ (FCEB) được yêu cầu áp dụng bản vá cho CVE-2026-111357 trước ngày 2/11/2026 và cho CVE-2026-118527 trước ngày 13/11/2026.

Nguồn: The Hacker News