CISA yêu cầu vá khẩn cấp Ivanti khi kẻ tấn công vượt qua xác thực qua header

Cơ quan An ninh Mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã ban hành chỉ thị khẩn cấp yêu cầu các tổ chức cập nhật ngay lập tức các thiết bị Ivanti Connect Secure. Hành động này diễn ra sau khi tiết lộ một lỗ hổng zero-day nghiêm trọng đang bị các nhóm đe dọa khai thác trong thực tế. Cơ quan này xác nhận rằng những kẻ tấn công từ xa đang lợi dụng lỗ hổng này để bỏ qua xác thực và thực thi các lệnh tùy ý trên các hệ thống bị ảnh hưởng.

Chuyện gì đã xảy ra

Lỗ hổng bảo mật, được xác định là CVE-2026-104935, có điểm CVSS là 8.6 và ảnh hưởng đến nhiều phiên bản của nền tảng Ivanti Connect Secure. Cụ thể, nó tác động đến các phiên bản 25.1.1.1 trở về trước, 25.1.2.2 trở về trước và 22.8R2.4 trở về trước. CISA tuyên bố rằng các nhóm đe dọa mạng đang sử dụng việc bỏ qua xác thực này để đánh cắp thông tin đăng nhập và trích xuất dữ liệu. Do đó, cơ quan này đã thêm lỗ hổng vào danh mục Các lỗ hổng bị khai thác đã biết (Known Exploited Vulnerabilities catalog), yêu cầu các cơ quan thuộc Nhánh Hành pháp Dân sự Liên bang (Federal Civilian Executive Branch agencies) phải áp dụng các bản sửa lỗi trước ngày 16 tháng 10 năm 2026.

Bằng chứng về việc khai thác tích cực đang gia tăng tại nhiều công ty an ninh. Previdian báo cáo đã quan sát thấy 105 nỗ lực khai thác nhắm vào các cảm biến honeypot của họ tính đến ngày 14 tháng 10 năm 2026. Những cuộc tấn công này xuất phát từ 50 địa chỉ IP duy nhất nằm ở Singapore và Hoa Kỳ. Tách biệt, Volexity đã phát hiện vụ khai thác đầu tiên vào ngày 3 tháng 10 năm 2026, quy cho một nhóm đe dọa chưa từng được ghi nhận trước đây với tên gọi UTA0576. Defused Cyber cũng xác nhận đã bắt gặp các hoạt động khai thác trước khi công bố bắt đầu từ ngày 1 tháng 10 năm 2026, cho thấy những kẻ tấn công đã hoạt động trước khi lỗ hổng được công khai.

CISA khuyến nghị rằng việc xác định sự xâm phạm đòi hỏi phải phân tích kỹ thuật số mạng và bộ nhớ. Nếu phát hiện vi phạm, phản ứng được đề xuất bao gồm sao lưu cấu hình, thực hiện đặt lại về trạng thái gốc (factory reset), nâng cấp lên phiên bản mới nhất và khôi phục cấu hình. Đối với các hệ thống đám mây hoặc ảo hóa, việc xây dựng lại instance là ưu tiên hàng đầu. Các tổ chức cũng phải đặt lại tất cả mật khẩu, thu hồi chứng chỉ và đặt lại khóa API. CISA cảnh báo thêm rằng phiên bản 22.8 sẽ ngừng hỗ trợ (end-of-life) vào ngày 31 tháng 1 năm 2027, thúc giục khách hàng xem xét các hướng dẫn di chuyển.

Cách thức hoạt động

Lỗ hổng này là một phương pháp bỏ qua xác thực cho phép kẻ tấn công từ xa, không cần xác thực, thực thi các lệnh tùy ý. Theo Yordan Ganchev, chuyên gia tình báo mối đe dọa chính tại watchTowr, nguyên nhân gốc rễ đơn giản đến bất ngờ. Chỉ một yêu cầu chứa header "X-DSCGI-PATH" được tạo đặc biệt là đủ để bỏ qua các điều khiển xác thực. Header này cấp quyền truy cập vào các chức năng nội bộ nhạy cảm vốn nên bị hạn chế, hiệu quả mở toang cánh cửa vào hệ thống mà không cần thông tin đăng nhập hợp lệ.

Ryan Dewhurst, nhà sáng lập Previdian, giải thích rằng các nhóm đe dọa sử dụng header này để tiếp cận một trình xử lý CGI nội bộ. Sau khi có quyền truy cập, những kẻ tấn công tải lên các script Perl được ngụy trang dưới dạng tệp ZIP. Các script này trả về những marker độc đáo để xác nhận xem việc thực thi mã từ xa có thành công hay không. Mặc dù các payload hiện tại được Previdian quan sát chủ yếu là kiểm tra khả năng thực thi mã thay vì triển khai malware đầy đủ, các chuyên gia cảnh báo rằng việc khai thác vũ khí hóa rất có thể sẽ nhanh chóng theo sau. Sự đơn giản của cơ chế khai thác có nghĩa là nó có thể dễ dàng tự động hóa và mở rộng quy mô.

Các nhà nghiên cứu của Volexity lưu ý rằng nhóm đe dọa UTA0576 đã kết hợp lỗ hổng này với một lỗi leo thang đặc quyền (privilege escalation flaw) để đạt được việc thực thi mã từ xa ở cấp độ root mà không cần xác thực. Khác với các cuộc tấn công điển hình thường để lại malware dai dẳng hoặc web shell, nhóm này tái khai thác thiết bị cho mỗi lệnh được thực thi. Họ chủ động can thiệp vào log và xóa các artifact tạm thời để tránh các công cụ phát hiện, bao gồm cả Integrity Checker Tool của Ivanti. Phương pháp fileless này làm cho việc phân tích pháp y truyền thống trở nên khó khăn hơn, vì có ít chỉ báo xâm phạm tĩnh còn lại trên đĩa.

Chi tiết chính

• ID Lỗ hổng: CVE-2026-104935 với điểm CVSS là 8.6.
• Phiên bản bị ảnh hưởng: Ivanti Connect Secure 25.1.1.1 trở về trước, 25.1.2.2 trở về trước và 22.8R2.4 trở về trước.
• Cơ chế khai thác: Bỏ qua xác thực thông qua header "X-DSCGI-PATH" được tạo đặc biệt dẫn đến thực thi mã từ xa.
• Mối đe dọa tích cực: Được quan sát bởi Previdian, Volexity và Defused Cyber từ đầu tháng 10 năm 2026.
• Nhóm đe dọa: UTA0576, được đánh giá là có động cơ tội phạm, sử dụng các kỹ thuật fileless và can thiệp vào log.
• Thời hạn liên bang: Các cơ quan FCEB phải vá lỗi trước ngày 16 tháng 10 năm 2026.

Tại sao vấn đề này quan trọng

Đối với các kỹ sư phần mềm và lãnh đạo IT, sự cố này nhấn mạnh rủi ro dai dẳng do các thiết bị mạng phức tạp gây ra. Ivanti Connect Secure có lịch sử đầy lỗ hổng, với vấn đề này gia nhập cùng 14 lỗ hổng khác trong danh sách KEV của CISA. Tốc độ mà việc khai thác chuyển từ các cuộc tấn công có mục tiêu sang quét rộng rãi cho thấy việc khai thác hàng loạt sắp xảy ra. Các tổ chức phụ thuộc vào những thiết bị này để truy cập từ xa đối mặt với rủi ro tức thì về đánh cắp thông tin đăng nhập và di chuyển ngang trong mạng của họ. Thực tế rằng lỗ hổng khai thác đơn giản và fileless có nghĩa là các biện pháp bảo vệ endpoint tiêu chuẩn có thể không phát hiện được vi phạm ban đầu.

Tác động vận hành là đáng kể vì việc khắc phục không chỉ đơn thuần là áp dụng một bản vá. Khuyến nghị của CISA về việc đặt lại về trạng thái gốc và khôi phục cấu hình cho thấy tính toàn vẹn của cài đặt hiện tại không thể được tin cậy một khi đã bị xâm phạm. Quá trình này gây ra thời gian chết và ma sát vận hành, đòi hỏi kế hoạch cẩn thận. Hơn nữa, nhu cầu đặt lại tất cả thông tin đăng nhập và phát hành lại chứng chỉ ngụ ý một cuộc cải cách bảo mật toàn diện cho bất kỳ tổ chức nào bị ảnh hưởng. Các kỹ sư phải ưu tiên điều tra pháp y để đảm bảo không còn backdoor nào, vì những kẻ tấn công đã cố ý che giấu hoạt động của chúng.

Bạn có thể làm gì

• Cập nhật ngay lập tức các thiết bị Ivanti Connect Secure lên phiên bản đã vá mới nhất.
• Quét log mạng để tìm các yêu cầu inbound chứa header "X-DSCGI-PATH".
• Tiến hành phân tích pháp y bộ nhớ và mạng để xác định dấu hiệu khai thác nếu việc vá lỗi bị trì hoãn.
• Nếu nghi ngờ bị xâm phạm, hãy thực hiện đặt lại về trạng thái gốc, nâng cấp và khôi phục cấu hình từ bản sao lưu.
• Đặt lại tất cả mật khẩu người dùng, quản trị viên và domain, đồng thời phát hành lại các chứng chỉ và khóa API đã lưu trữ.
• Xem xét Hướng dẫn Tương thích Nâng cấp và Di chuyển (Upgrade and Migration Compatibility Guide) của Ivanti, đặc biệt dành cho người dùng phiên bản 22.8.