Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Jumat resmi memasukkan dua celah keamanan yang berdampak pada Ivanti Connect Secure (ICS) ke dalam katalog Kerentanan Tereksploitasi yang Diketahui (KEV), menyusul ditemukannya eksploitasi aktif di dunia nyata.
Daftar celah keamanan tersebut dirinci sebagai berikut –
Perlu dicatat bahwa celah keamanan ini merupakan bagian dari rantai eksploitasi yang pertama kali didokumentasikan oleh Volexity awal bulan ini. Celah tersebut dipersenjatai bersamaan dengan kelemahan bypass otentikasi (CVE-2026-104935, skor CVSS: 8.6) oleh pelaku ancaman yang belum teridentifikasi sebelumnya dengan sebutan UTA0576. CVE-2026-104935 sendiri telah dimasukkan ke dalam katalog KEV pada tanggal 13 Oktober 2026.
"Rantai eksploitasi ini menggabungkan bypass otentikasi, eksekusi kode jarak jauh (RCE), dan kerentanan eskalasi hak istimewa untuk memperoleh eksekusi kode tingkat root tanpa otentikasi," terang Volexity.
Berbeda dengan serangan siber lain yang biasanya memanfaatkan celah serupa untuk memasang web shell atau malware, UTA0576 teramati menggunakan kerentanan ini untuk mencuri kredensial dan sebagian metadata Active Directory, melakukan pengintaian terhadap host, serta memburu kata sandi administrator maupun kunci pemulihan BitLocker.
Pihak Ivanti menyatakan bahwa ketika rincian tersebut dipublikasikan, mereka masih dalam proses mengembangkan perbaikan untuk celah eskalasi hak istimewa lokal (LPE) yang dieksploitasi dalam rangkaian serangan itu. Pembaruan untuk CVE-2026-111357 dan CVE-2026-118527 kini telah tersedia untuk versi ICS berikut –
"Saat eksploitasi ditemukan, Ivanti telah mengembangkan perbaikan untuk CVE-2026-104935 yang sedang dalam tahap QA pada versi yang didukung, dan kami memutuskan untuk tidak menunda pengiriman patch yang mengatasi jalur eksploitasi utama saat LPE terdeteksi," jelas Ivanti.
"Oleh karena itu, fokus awal kami dipusatkan pada pengungkapan CVE-2026-104935 serta menghadirkan perlindungan bagi pelanggan kami secepat mungkin."
Perusahaan menambahkan bahwa mereka telah mendeteksi sebagian kerentanan tersebut lewat program keamanan produk internal dan memperbaikinya pada rilis Juli 25.1.3.0. Mereka juga sedang melakukan backport perbaikan ke versi terdampak lainnya saat serangan berlangsung.
Pembaruan terkini berhasil mengatasi seluruh celah yang digabungkan dan dieksploitasi di alam liar. Lembaga Cabang Eksekutif Sipil Federal (FCEB) diwajibkan menerapkan perbaikan CVE-2026-111357 selambatnya 2 November 2026, serta CVE-2026-118527 sebelum 13 November 2026.