Lỗ hổng zero-day CVE-2026-104935 trên Ivanti Connect Secure đang bị khai thác

Các nhà nghiên cứu bảo mật vừa công bố thông tin về một lỗ hổng zero-day nghiêm trọng đang bị khai thác tích cực trong thực tế, ảnh hưởng trực tiếp đến dòng sản phẩm Ivanti Connect Secure (ICS). Lỗ hổng này, được định danh là CVE-2026-104935, cho phép các tác nhân đe dọa thực thi lệnh tùy ý trên hệ thống mà không cần trải qua quy trình xác thực hợp lệ.

Chi tiết về lỗ hổng CVE-2026-104935

Theo các báo cáo kỹ thuật, CVE-2026-104935 được phân loại là lỗi bỏ qua xác thực thông qua kỹ thuật giả mạo, tương ứng với mã CWE-290. Với điểm số CVSS 8.6, lỗ hổng này được đánh giá là có mức độ nghiêm trọng cao, đặc biệt khi kẻ tấn công có thể khai thác qua mạng mà không cần bất kỳ tương tác nào từ người dùng hoặc thông tin xác thực hợp lệ.

Đánh giá từ các chuyên gia cho thấy lỗ hổng này có độ phức tạp tấn công thấp, gây ảnh hưởng trực tiếp đến tính bảo mật của dữ liệu. Mặc dù tác động đến tính toàn vẹn và tính sẵn sàng của dịch vụ thấp hơn, nhưng khả năng thực thi lệnh từ xa (RCE) khiến đây trở thành mục tiêu hàng đầu cho các chiến dịch xâm nhập mạng trái phép.

Biện pháp khắc phục và nâng cấp từ nhà sản xuất

Ivanti đã xác nhận rằng đội ngũ bảo mật sản phẩm của họ đã phát hiện một phần của lỗ hổng này và triển khai bản vá trong phiên bản 25.1.3.0 vào tháng 7 năm 2026. Tuy nhiên, việc khai thác vẫn diễn ra trong thời gian hãng đang nỗ lực chuyển đổi các bản vá cho các phiên bản được hỗ trợ khác.

Đối với các tổ chức đang vận hành thiết bị ISA6000 hoặc ISA8000 chạy phiên bản 25.1.1.1, quản trị viên bắt buộc phải nâng cấp lên phiên bản 25.1.1.2. Đối với các hệ thống chạy nhánh 22.8, cần chuyển đổi lên 25.1.1.2 hoặc cài đặt bản vá 22.8R2.5 nếu việc di chuyển nền tảng chưa thể thực hiện ngay lập tức.

Việc di chuyển sang phiên bản 25.1.3.0 yêu cầu thay đổi nền tảng phần cứng. Đối với các triển khai vật lý, cần trang bị máy chủ mới, trong khi các triển khai ảo hóa hoặc trên nền tảng đám mây cần xây dựng lại thiết bị dựa trên các template phù hợp. Quản trị viên nên tham khảo tài liệu hướng dẫn nâng cấp và di chuyển của Ivanti trước khi thực hiện bất kỳ thay đổi cấu trúc nào.

Khuyến cáo cho quản trị viên hệ thống

Hiện tại, Ivanti cho biết chưa có các chỉ số thỏa hiệp (IOCs) đáng tin cậy để xác định dấu vết của kẻ tấn công. Tuy nhiên, các tổ chức nên chủ động rà soát nhật ký hệ thống để tìm kiếm các hành vi truy cập bất thường hoặc các lệnh thực thi không xác định từ các địa chỉ IP lạ. Nếu phát hiện dấu hiệu bị xâm nhập, quản trị viên cần tuân thủ nghiêm ngặt các quy trình phục hồi sự cố và cô lập thiết bị khỏi mạng nội bộ ngay lập tức.

Để biết thêm thông tin chi tiết về các lỗ hổng bảo mật, người dùng có thể tham khảo cơ sở dữ liệu tại National Vulnerability Database (NVD). Việc duy trì cập nhật bản vá thường xuyên là yếu tố then chốt để bảo vệ hạ tầng mạng trước các cuộc tấn công zero-day phức tạp như CVE-2026-104935.