CISA cảnh báo khẩn cấp về lỗ hổng zero-day trên Ivanti Connect Secure

Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vừa đưa ra cảnh báo khẩn cấp, yêu cầu các tổ chức nhanh chóng cập nhật thiết bị Ivanti Connect Secure (ICS) lên phiên bản mới nhất. Động thái này diễn ra sau khi phát hiện một lỗ hổng bảo mật nghiêm trọng đang bị kẻ tấn công khai thác tích cực trong thực tế.

Lỗ hổng được định danh là CVE-2026-104935 (điểm CVSS 8.6), cho phép kẻ tấn công từ xa không cần xác thực có thể bypass cơ chế bảo mật và thực thi các lệnh tùy ý trên hệ thống. Các phiên bản bị ảnh hưởng bao gồm 25.1.1.1 trở về trước, 25.1.2.2 trở về trước và 22.8R2.4 trở về trước.

Theo CISA, lỗ hổng zero-day này đang bị các nhóm tội phạm mạng lợi dụng để đánh cắp thông tin xác thực và trích xuất dữ liệu trái phép. Lỗ hổng đã được đưa vào danh mục Các lỗ hổng đã bị khai thác (KEV) của CISA, buộc các cơ quan chính phủ liên bang tại Mỹ phải áp dụng bản vá trước ngày 16/10/2026.

Dấu hiệu khai thác và phản ứng từ giới chuyên gia

Dữ liệu từ các hệ thống honeypot của Previdian cho thấy đã có hơn 105 nỗ lực khai thác tính đến ngày 14/10/2026, xuất phát từ nhiều địa chỉ IP khác nhau. Ryan Dewhurst, CEO của Previdian, cho biết kẻ tấn công đang sử dụng header X-DSCGI-PATH để tiếp cận trình xử lý CGI nội bộ và tải lên các script Perl dưới dạng tệp ZIP nhằm kiểm tra khả năng thực thi mã từ xa.

Trong một báo cáo độc lập, Volexity cũng xác nhận việc phát hiện nhóm tin tặc có tên UTA0576 đã khai thác lỗ hổng này từ ngày 3/10/2026. Nhóm này kết hợp CVE-2026-104935 với một lỗ hổng leo thang đặc quyền để chiếm quyền root. Sau khi xâm nhập, kẻ tấn công thực hiện các hành vi như trích xuất thông tin từ Active Directory, triển khai công cụ Kerberoast và tìm kiếm mật khẩu quản trị viên cũng như khóa khôi phục BitLocker.

Khuyến nghị từ CISA cho các tổ chức:

Sao lưu cấu hình thiết bị trước khi thực hiện bất kỳ thao tác nào.
Khôi phục cài đặt gốc (factory reset) và nâng cấp lên phiên bản mới nhất.
Đối với hệ thống cloud và ảo hóa, hãy xây dựng lại instance và cập nhật phiên bản mới.
Sau khi khôi phục, bắt buộc phải thay đổi toàn bộ mật khẩu (domain, admin, local), thu hồi và cấp lại chứng chỉ số, đồng thời reset các API key và thông tin đăng nhập máy chủ cấp phép (license server).

Các quản trị viên hệ thống cần thực hiện kiểm tra pháp y mạng và bộ nhớ để xác định xem hệ thống của mình đã bị xâm nhập hay chưa, đồng thời lưu ý rằng phiên bản 22.8 sẽ kết thúc vòng đời (end-of-life) vào ngày 31/1/2027.

Nguồn tham khảo: The Hacker News