Tin tặc khai thác chuỗi 3 lỗ hổng zero-day trên Ivanti Connect Secure để chiếm quyền root

Một nhóm tin tặc (được định danh là UTA0576) đã thực hiện thành công chuỗi tấn công kết hợp ba lỗ hổng zero-day trên thiết bị VPN Ivanti Connect Secure để thực thi lệnh với quyền root mà không cần xác thực. Thông tin này được công bố bởi công ty an ninh mạng Volexity vào ngày 13/10/2026.

Chi tiết về chuỗi tấn công

Theo Volexity, chuỗi tấn công này bao gồm:

• CVE-2026-104935: Kết hợp giữa lỗ hổng bypass xác thực và thực thi mã từ xa (RCE), cho phép kẻ tấn công chạy mã dưới quyền người dùng cgi-server.
• Lỗ hổng leo thang đặc quyền (Privilege Escalation): Lỗ hổng thứ ba giúp kẻ tấn công nâng quyền từ cgi-server lên quyền root cao nhất trên hệ thống.

Hiện tại, Ivanti đã phát hành bản vá cho hai lỗ hổng đầu tiên, trong khi bản vá cho lỗ hổng leo thang đặc quyền vẫn đang được phát triển và dự kiến sẽ ra mắt trong vài tuần tới.

Khó khăn trong việc phát hiện

Đáng chú ý, các thiết bị đã được cập nhật bản vá đầy đủ vẫn có nguy cơ bị tấn công. Volexity cho biết công cụ Integrity Checker Tool của Ivanti không thể phát hiện được hành vi xâm nhập này do kẻ tấn công đã thực hiện các kỹ thuật xóa dấu vết, bao gồm việc chỉ thay đổi mã thư viện trong bộ nhớ (in-memory) và khôi phục dữ liệu cấu hình sau khi thực hiện lệnh.

Các dấu hiệu nhận biết (IoC) được ghi nhận bao gồm:

• Các yêu cầu bất thường đến đường dẫn: /dana-na/auth/url_default/welcome.cgi.
• Sự xuất hiện của header HTTP X-DSCGI-PATH không khớp với đường dẫn URL.
• Sự tồn tại của thư mục lạ: /data/.icscap/.

Khuyến nghị cho quản trị viên

Ivanti xác nhận đã có các cuộc tấn công giới hạn trong thực tế (in-the-wild). Các tổ chức đang sử dụng Ivanti Connect Secure cần kiểm tra kỹ phiên bản hiện tại. Các phiên bản trước 25.1.3.0 đều nằm trong diện bị ảnh hưởng. Người dùng được khuyến cáo nâng cấp lên các phiên bản an toàn (như 25.1.3.0, 25.1.3.1 hoặc 22.8R2.5) ngay khi có thể và thực hiện điều tra pháp y (forensic) nếu nghi ngờ hệ thống đã bị xâm nhập.

Ngoài ra, Ivanti cũng vừa công bố các bản vá cho hai sản phẩm khác là Xtraction (CVE-2026-106042) và Neurons Patch for Intune (CVE-2026-109412), cả hai đều được đánh giá ở mức độ nghiêm trọng cao (9.9/10).

Nguồn tham khảo: The Hacker News