Tin tặc kết hợp chuỗi 3 lỗ hổng trên Ivanti Connect Secure để chiếm quyền root

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa chính thức đưa hai lỗ hổng bảo mật mới ảnh hưởng đến Ivanti Connect Secure (ICS) vào danh mục Các lỗ hổng đã bị khai thác (KEV), sau khi ghi nhận các hoạt động tấn công thực tế.

Các lỗ hổng này bao gồm:

• CVE-2026-111357 (CVSS 8.8): Lỗi thiếu xác thực cho một chức năng quan trọng, cho phép kẻ tấn công cục bộ đã xác thực có thể leo thang đặc quyền.
• CVE-2026-118527 (CVSS 4.3): Lỗi tạo định danh dự đoán được, cho phép kẻ tấn công từ xa đã xác thực tải lên các tệp tin tùy ý vào hệ thống.

Theo các chuyên gia từ Volexity, đây là một phần của chuỗi exploit phức tạp. Trước đó, một nhóm tin tặc có tên UTA0576 đã sử dụng các lỗ hổng này kết hợp với một lỗi authentication bypass (CVE-2026-104935) để thực thi mã từ xa (RCE) và chiếm quyền root mà không cần xác thực.

Khác với các chiến dịch tấn công thông thường tập trung vào việc cài đặt malware hay web shell, nhóm UTA0576 nhắm mục tiêu vào việc trích xuất thông tin xác thực, thu thập siêu dữ liệu Active Directory, thực hiện do thám hệ thống và tìm kiếm các khóa khôi phục BitLocker.

Ivanti đã phát hành các bản patch khắc phục cho cả hai lỗ hổng trên trong các phiên bản cập nhật mới nhất. Người dùng được khuyến cáo nâng cấp lên phiên bản 25.1.1.3 hoặc 22.8R2.6 để đảm bảo an toàn. Các cơ quan chính phủ Hoa Kỳ đã được yêu cầu áp dụng các bản vá này trước thời hạn đầu tháng 11/2026.

Đại diện Ivanti cho biết, hãng đã ưu tiên xử lý lỗ hổng CVE-2026-104935 ngay khi phát hiện để bảo vệ khách hàng, đồng thời tiếp tục hoàn thiện các bản vá cho các lỗ hổng leo thang đặc quyền trong chuỗi tấn công này.

Nguồn tham khảo: The Hacker News