Cảnh báo lỗ hổng zero-day CVE-2026-104935 trên thiết bị Ivanti Connect Secure

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa phát đi cảnh báo khẩn cấp về một lỗ hổng bảo mật nghiêm trọng mang mã CVE-2026-104935, hiện đang tác động trực tiếp lên các thiết bị Ivanti Connect Secure. Điểm yếu này tạo điều kiện cho tin tặc vượt qua cơ chế xác thực từ xa, thực thi mã độc tùy ý nhằm đánh cắp thông tin xác thực và trích xuất dữ liệu nhạy cảm một cách trái phép.

Chi tiết về lỗ hổng và chiến dịch khai thác thực tế

Theo ghi nhận từ cộng đồng nghiên cứu bảo mật, lỗ hổng này đã chính thức được CISA bổ sung vào danh mục các lỗ hổng bị khai thác trong thực tế (Known Exploited Vulnerabilities - KEV). Các phiên bản sản phẩm nằm trong diện ảnh hưởng bao gồm dòng 25.1.1.1 trở về trước, 25.1.2.2 trở về trước và dòng 22.8R2.4 trở về trước.

Báo cáo chi tiết từ các chuyên gia của Volexity chỉ ra rằng một nhóm tác nhân đe dọa mang mã định danh UTA0576 đã tiến hành khai thác các điểm yếu này ngay từ đầu tháng 10 năm 2026. Đáng chú ý, cuộc tấn công đã được ghi nhận trên một thiết bị chạy phiên bản Connect Secure 22.8R2.4, dù hệ thống này đã được cập nhật đầy đủ các bản vá ở thời điểm đó.

Phương thức và kỹ thuật tấn công tinh vi

Chuỗi tấn công được triển khai dựa trên sự kết hợp phức tạp của nhiều kỹ thuật xâm nhập khác nhau. Ngay sau khi giành quyền kiểm soát hệ thống, kẻ tấn công tiến hành thu thập thông tin xác thực miền, thực hiện truy vấn Active Directory, tìm kiếm mật khẩu quản trị viên cục bộ cùng các khóa khôi phục BitLocker. Bên cạnh đó, các chuyên gia cũng ghi nhận sự xuất hiện của các hoạt động dò quét mạng nội bộ và kỹ thuật tấn công đoán mật khẩu.

Điểm đáng ngại nhất trong chiến dịch này là việc kẻ tấn công hoàn toàn không sử dụng các tệp tin web shell hay cửa hậu (backdoor) theo cách thức truyền thống. Thay vào đó, chúng thực thi lệnh trực tiếp trong bộ nhớ RAM, can thiệp thay đổi mã thư viện và chủ động xóa các tệp nhật ký hệ thống nhằm phi tang dấu vết. Phương thức này khiến công cụ kiểm tra tính toàn vẹn (Integrity Checker Tool) của Ivanti dễ dàng bỏ sót các dấu hiệu bất thường.

Khuyến nghị phòng thủ cho quản trị viên

Trước nguy cơ mất an toàn thông tin, các tổ chức và doanh nghiệp cần nhanh chóng rà soát hệ thống và áp dụng các biện pháp khắc phục theo khuyến cáo từ nhà sản xuất cũng như cơ quan chức năng.

Ngoài ra, những đơn vị đang duy trì sử dụng nhánh sản phẩm 22.8 cần đặc biệt lưu ý về lộ trình chuyển đổi hệ thống trước thời điểm 31 tháng 1 năm 2027, thời điểm dòng sản phẩm này chính thức chấm dứt vòng đời hỗ trợ (End-of-Life). Thông tin chi tiết về các bản vá lỗi và hướng dẫn kỹ thuật có thể tra cứu trực tiếp tại danh mục KEV của CISA.