Cảnh báo lỗ hổng zero-day CVE-2026-104935 trên Ivanti Connect Secure

• Mối đe dọa: Lỗ hổng zero-day CVE-2026-104935 cho phép vượt qua xác thực và thực thi mã từ xa (RCE).
• Tác động: Kẻ tấn công chiếm quyền root, đánh cắp thông tin xác thực Active Directory và khóa khôi phục BitLocker.
• Khuyến nghị: Cập nhật ngay lập tức các phiên bản Ivanti Connect Secure bị ảnh hưởng theo hướng dẫn từ nhà sản xuất.

Tổng quan về lỗ hổng CVE-2026-104935

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa đưa ra cảnh báo khẩn cấp về lỗ hổng bảo mật nghiêm trọng mang mã CVE-2026-104935 ảnh hưởng đến các thiết bị Ivanti Connect Secure. Lỗ hổng này cho phép kẻ tấn công thực hiện vượt qua cơ chế xác thực từ xa và thực thi mã tùy ý, từ đó dẫn đến việc đánh cắp thông tin xác thực và trích xuất dữ liệu trái phép.

Theo các nhà nghiên cứu bảo mật, lỗ hổng này đã được thêm vào danh mục các lỗ hổng bị khai thác thực tế (Known Exploited Vulnerabilities - KEV) của CISA vào ngày 13 tháng 10 năm 2026. Các phiên bản bị ảnh hưởng bao gồm 25.1.1.1 trở về trước, 25.1.2.2 trở về trước và 22.8R2.4 trở về trước.

Phân tích chuỗi tấn công của nhóm UTA0576

Dựa trên báo cáo từ các chuyên gia tại Volexity, một nhóm tác nhân đe dọa được định danh là UTA0576 đã bắt đầu khai thác các điểm yếu này từ ngày 3 tháng 10 năm 2026. Cuộc tấn công được ghi nhận trên một thiết bị Connect Secure phiên bản 22.8R2.4, ngay cả khi thiết bị này đã được áp dụng các bản vá đầy đủ tại thời điểm đó.

Chuỗi tấn công (Attack Chain) được thực hiện thông qua sự kết hợp tinh vi của nhiều kỹ thuật:

• Vượt qua xác thực (Authentication Bypass): Kẻ tấn công bỏ qua lớp kiểm soát truy cập ban đầu.
• Tải tệp tin độc hại (File Upload): Lợi dụng lỗ hổng tải tệp để chèn mã thực thi.
• Leo thang đặc quyền (Privilege Escalation): Sử dụng lỗ hổng riêng biệt để chiếm quyền root, cấp độ cao nhất trên thiết bị.

Sau khi chiếm quyền điều khiển, kẻ tấn công đã thực hiện các hành vi thu thập thông tin xác thực miền, truy vấn Active Directory, tìm kiếm mật khẩu quản trị viên cục bộ và các khóa khôi phục BitLocker. Các nhà nghiên cứu cũng quan sát thấy các kỹ thuật như password spraying và dò quét mạng nội bộ.

Kỹ thuật né tránh và phát hiện

Một điểm đáng chú ý trong chiến dịch này là kẻ tấn công không để lại các tệp tin web shell hoặc backdoor truyền thống. Thay vào đó, chúng thực thi các lệnh trực tiếp trong bộ nhớ (in-memory), thay đổi mã thư viện và xóa các mục nhật ký (log) để che giấu dấu vết. Điều này khiến công cụ Integrity Checker Tool của Ivanti có thể bỏ sót các dấu hiệu xâm nhập.

⚠️ Cảnh báo quan trọng: Việc chỉ cài đặt bản vá là không đủ. Do kẻ tấn công đã chiếm được thông tin xác thực, các tổ chức cần thực hiện quy trình khôi phục toàn diện bao gồm thay đổi mật khẩu miền, mật khẩu quản trị viên và thu hồi các chứng chỉ số đã bị lộ.

Hướng dẫn phòng thủ và khắc phục

Để đảm bảo an toàn cho hạ tầng, các quản trị viên cần thực hiện các bước sau:

1. Sao lưu cấu hình: Thực hiện sao lưu cấu hình thiết bị trước khi tiến hành khôi phục.
2. Cập nhật bản vá: Cài đặt phiên bản mới nhất từ Ivanti ngay khi có thể.
3. Khôi phục cài đặt gốc: Đối với các thiết bị nghi ngờ bị xâm nhập, cần thực hiện factory reset và cài đặt lại từ đầu.
4. Xử lý thông tin bị lộ: Reset toàn bộ mật khẩu tài khoản, API keys và license server credentials.

Các tổ chức đang sử dụng nhánh 22.8 cần lưu ý kế hoạch di chuyển hệ thống trước ngày 31 tháng 1 năm 2027, thời điểm kết thúc vòng đời hỗ trợ (End-of-Life). Mọi thông tin chi tiết về bản vá và hướng dẫn di chuyển có thể tham khảo tại CISA Known Exploited Vulnerabilities Catalog.