Các lỗ hổng Ivanti Connect Secure được khai thác chuỗi để đạt quyền root không cần xác thực

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm hai lỗ hổng bảo mật nghiêm trọng trong Ivanti Connect Secure (ICS) vào danh mục Các lỗ hổng bị khai thác đã biết (KEV) vào thứ Sáu, ngày 31 tháng 10 năm 2026. Hành động này diễn ra sau khi xác nhận các cuộc tấn công đang hoạt động ngoài thực tế bởi một nhóm đe dọa chưa từng được ghi nhận trước đó, đánh dấu sự leo thang đáng kể trong các cuộc tấn công nhắm vào cổng truy cập bảo mật được sử dụng rộng rãi này.

Chuyện gì đã xảy ra

Hai lỗ hổng mới được liệt kê là CVE-2026-111357 và CVE-2026-118527. CVE-2026-111357 có điểm CVSS là 8.8 và liên quan đến việc thiếu xác thực cho một chức năng quan trọng, cho phép kẻ tấn công cục bộ đã xác thực leo thang đặc quyền. CVE-2026-118527 có điểm CVSS là 4.3 và xuất phát từ việc tạo ra các số hoặc định danh dễ đoán, cho phép kẻ tấn công từ xa đã xác thực tải lên các tệp với nội dung được kiểm soát tới một vị trí ổ đĩa đã biết.

Những lỗi này không phải là các vấn đề riêng lẻ mà là một phần của chuỗi khai thác tinh vi lần đầu tiên được Volexity ghi nhận vào đầu tháng 10 năm 2026. Chuỗi này vũ khí hóa hai lỗ hổng trên cùng với một lỗ hổng bỏ qua xác thực, CVE-2026-104935 (CVSS 8.6), mà CISA đã thêm vào danh mục KEV vào ngày 13 tháng 10 năm 2026. Nhóm đe dọa đứng sau các cuộc tấn công này, được gọi là UTA0576, sử dụng sự kết hợp này để đạt được khả năng thực thi mã ở cấp độ root mà không cần xác thực trên các hệ thống mục tiêu.

Khác với các chiến dịch triển khai ransomware hoặc malware thông thường, mục tiêu của UTA0576 dường như tập trung vào gián điệp và thu thập thông tin đăng nhập. Các quan sát chỉ ra rằng nhóm này trích xuất thông tin đăng nhập và siêu dữ liệu Active Directory hạn chế, tiến hành trinh sát máy chủ và cụ thể tìm kiếm mật khẩu quản trị viên và khóa phục hồi BitLocker. Điều này gợi ý một cách tiếp cận nhắm vào mục tiêu giá trị cao thay vì gây rối loạn bừa bãi.

Cách thức hoạt động

Cuộc tấn công dựa vào việc liên kết ba lỗ hổng riêng biệt để vượt qua nhiều lớp phòng thủ. Nó bắt đầu với CVE-2026-104935, một lỗ hổng bỏ qua xác thực cho phép kẻ tấn công xâm nhập vào hệ thống mà không cần thông tin đăng nhập hợp lệ. Sau khi vào bên trong, kẻ tấn công tận dụng CVE-2026-118527 để tải lên các tệp độc hại tới một vị trí dễ đoán trên ổ đĩa, về cơ bản đạt được khả năng thực thi mã từ xa (RCE) trong ngữ cảnh của ứng dụng.

Bước cuối cùng liên quan đến CVE-2026-111357, một lỗ hổng leo thang đặc quyền cục bộ. Vì các bước trước đó cung cấp cho kẻ tấn công một chỗ đứng với quyền hạn hạn chế, lỗ hổng này cho phép họ nâng cao quyền truy cập lên mức root. Bằng cách kết hợp bỏ qua xác thực, RCE và leo thang đặc quyền, nhóm đe dọa giành được toàn quyền kiểm soát thiết bị mà không bao giờ cần phải xác thực hợp pháp. Volexity lưu ý rằng chuỗi này đạt được "thực thi mã cấp root không cần xác thực", đại diện cho sự xâm phạm hoàn toàn thiết bị.

Chi tiết chính

• CVE-2026-111357: CVSS 8.8, thiếu xác thực cho chức năng quan trọng, cho phép leo thang đặc quyền cục bộ.
• CVE-2026-118527: CVSS 4.3, các định danh dễ đoán cho phép tải tệp từ xa tới các vị trí đã biết.
• CVE-2026-104935: CVSS 8.6, bỏ qua xác thực, được thêm vào KEV vào ngày 13 tháng 10 năm 2026.
• Nhóm đe dọa: UTA0576, chưa từng được ghi nhận trước đó, tập trung vào trích xuất thông tin đăng nhập và siêu dữ liệu.
• Phiên bản đã sửa lỗi: ICS 25.1.1.3 (sửa lỗi cho 25.1.1.2 trở về trước) và 22.8R2.6 (sửa lỗi cho 22.8R2.5 trở về trước).
• Thời hạn: Các cơ quan FCEB phải vá CVE-2026-111357 trước ngày 2 tháng 11 năm 2026 và CVE-2026-118527 trước ngày 13 tháng 11 năm 2026.

Tại sao điều này quan trọng

Đối với các đội ngũ lãnh đạo kỹ thuật và CNTT, sự cố này làm nổi bật nguy hiểm của việc liên kết lỗ hổng. Một lỗ hổng đơn lẻ với điểm CVSS trung bình như CVE-2026-118527 có thể bị giảm ưu tiên trong các đánh giá rủi ro tiêu chuẩn, nhưng khi kết hợp với các điểm yếu khác, nó trở thành một mắt xích quan trọng dẫn đến xâm phạm toàn bộ hệ thống. Điều này củng cố nhu cầu xem xét các bản vá bảo mật một cách tổng thể thay vì riêng lẻ, đặc biệt đối với các thiết bị biên như cổng truy cập bảo mật.

Hành vi của UTA0576 cũng chuyển trọng tâm phòng thủ từ chỉ phát hiện malware sang vệ sinh thông tin đăng nhập và giám sát di chuyển ngang. Vì kẻ tấn công đang săn lùng các khóa BitLocker và siêu dữ liệu Active Directory, các giải pháp bảo vệ endpoint truyền thống có thể không gắn cờ hoạt động là độc hại nếu không có payload nhị phân nào được thả xuống. Các đội ngũ phải đảm bảo rằng các giải pháp ghi log và giám sát được điều chỉnh để phát hiện các hoạt động liệt kê bất thường và mẫu truy cập thông tin đăng nhập, ngay cả từ các dịch vụ nội bộ đáng tin cậy.

Bạn có thể làm gì

• Nâng cấp ngay lập tức Ivanti Connect Secure lên phiên bản 25.1.1.3 hoặc 22.8R2.6, tùy thuộc vào nhánh hiện tại của bạn.
• Xác minh rằng không có tệp trái phép nào được tải lên các thư mục có thể ghi đã biết trên các thiết bị ICS của bạn.
• Xoay vòng tất cả mật khẩu quản trị viên và khóa phục hồi BitLocker được lưu trữ trên hoặc có thể truy cập từ các hệ thống bị ảnh hưởng.
• Xem xét nhật ký để tìm dấu hiệu trinh sát máy chủ hoặc các truy vấn siêu dữ liệu Active Directory bất thường kể từ đầu tháng 10 năm 2026.
• Áp dụng phân đoạn mạng nghiêm ngặt để hạn chế tác động nếu một thiết bị bị xâm phạm, ngăn chặn di chuyển ngang.
• Giám sát các chỉ báo xâm nhập liên quan đến UTA0576, tập trung vào trích xuất thông tin đăng nhập chứ không chỉ chữ ký malware.