Lỗ hổng Zero-day CVE-2026-104935 trên Ivanti Connect Secure bị khai thác tích cực

• Mã định danh: Lỗ hổng nghiêm trọng CVE-2026-104935 với điểm CVSS 8.6.
• Cơ chế lỗi: Lỗi bỏ qua xác thực thông qua kỹ thuật giả mạo (CWE-290).
• Tác động: Cho phép kẻ tấn công thực thi lệnh từ xa mà không cần thông tin đăng nhập.
• Khắc phục: Yêu cầu quản trị viên cập nhật lên các phiên bản đã vá lỗi như 25.1.3.0 hoặc 22.8R2.5 ngay lập tức.

Các nhà nghiên cứu bảo mật vừa công bố thông tin về một lỗ hổng zero-day nghiêm trọng đang bị khai thác tích cực trong thực tế, ảnh hưởng trực tiếp đến dòng sản phẩm Ivanti Connect Secure (ICS). Lỗ hổng này, được định danh là CVE-2026-104935, cho phép các tác nhân đe dọa thực thi lệnh tùy ý trên hệ thống mà không cần trải qua quy trình xác thực hợp lệ.

Phân tích kỹ thuật lỗ hổng CVE-2026-104935

Theo các báo cáo kỹ thuật, CVE-2026-104935 được phân loại là lỗi bỏ qua xác thực thông qua kỹ thuật giả mạo, tương ứng với mã CWE-290. Với điểm số CVSS 8.6, lỗ hổng này được đánh giá là có mức độ nghiêm trọng cao, đặc biệt khi kẻ tấn công có thể khai thác qua mạng mà không cần bất kỳ tương tác nào từ người dùng hoặc thông tin xác thực hợp lệ.

Đánh giá từ các chuyên gia cho thấy lỗ hổng này có độ phức tạp tấn công thấp, gây ảnh hưởng trực tiếp đến tính bảo mật của dữ liệu. Mặc dù tác động đến tính toàn vẹn và tính sẵn sàng của dịch vụ thấp hơn, nhưng khả năng thực thi lệnh từ xa (RCE) khiến đây trở thành mục tiêu hàng đầu cho các chiến dịch xâm nhập mạng trái phép.

Bảng tổng hợp các phiên bản bị ảnh hưởng và đã khắc phục

Hướng dẫn khắc phục và giảm thiểu rủi ro

Ivanti đã xác nhận rằng đội ngũ bảo mật sản phẩm của họ đã phát hiện một phần của lỗ hổng này và triển khai bản vá trong phiên bản 25.1.3.0 vào tháng 7 năm 2026. Tuy nhiên, việc khai thác vẫn diễn ra trong thời gian hãng đang nỗ lực chuyển đổi các bản vá cho các phiên bản được hỗ trợ khác.

Đối với các tổ chức đang vận hành thiết bị ISA6000 hoặc ISA8000 chạy phiên bản 25.1.1.1, quản trị viên bắt buộc phải nâng cấp lên phiên bản 25.1.1.2. Đối với các hệ thống chạy nhánh 22.8, cần chuyển đổi lên 25.1.1.2 hoặc cài đặt bản vá 22.8R2.5 nếu việc di chuyển nền tảng chưa thể thực hiện ngay lập tức.

⚠️ Cảnh báo quan trọng: Các phiên bản thuộc nhánh 22.7 và thấp hơn không chứa lỗ hổng này, tuy nhiên, cả nhánh 22.7 và 22.8 sẽ chính thức kết thúc vòng đời (End of Life) vào ngày 31 tháng 1 năm 2027. Quản trị viên cần lập kế hoạch di chuyển sang các nền tảng mới như ISA4500, ISA6500 hoặc ISA8500 theo hướng dẫn chính thức từ nhà sản xuất.

Việc di chuyển sang phiên bản 25.1.3.0 yêu cầu thay đổi nền tảng phần cứng. Đối với các triển khai vật lý, cần trang bị máy chủ mới, trong khi các triển khai ảo hóa hoặc trên nền tảng đám mây cần xây dựng lại thiết bị dựa trên các template phù hợp. Quản trị viên nên tham khảo tài liệu hướng dẫn nâng cấp và di chuyển của Ivanti trước khi thực hiện bất kỳ thay đổi cấu trúc nào.

Săn tìm mối đe dọa và phản ứng sự cố

Hiện tại, Ivanti cho biết chưa có các chỉ số thỏa hiệp (IOCs) đáng tin cậy để xác định dấu vết của kẻ tấn công. Tuy nhiên, các tổ chức nên chủ động rà soát nhật ký hệ thống (logs) để tìm kiếm các hành vi truy cập bất thường hoặc các lệnh thực thi không xác định từ các địa chỉ IP lạ. Nếu phát hiện dấu hiệu bị xâm nhập, quản trị viên cần tuân thủ nghiêm ngặt các quy trình phục hồi sự cố và cô lập thiết bị khỏi mạng nội bộ ngay lập tức.

Để biết thêm thông tin chi tiết về các lỗ hổng bảo mật, bạn có thể tham khảo cơ sở dữ liệu tại National Vulnerability Database (NVD). Việc duy trì cập nhật bản vá thường xuyên là yếu tố then chốt để bảo vệ hạ tầng mạng trước các cuộc tấn công zero-day phức tạp như CVE-2026-104935.