Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Jumat resmi memasukkan dua celah keamanan yang menyerang Ivanti Connect Secure (ICS) ke dalam daftar katalog Kerentanan yang Dieksploitasi (KEV), menyusul ditemukannya serangan aktif di dunia maya.
Daftar celah keamanan tersebut dirinci di bawah ini –
Perlu digarisbawahi bahwa celah keamanan tersebut merupakan bagian dari rangkaian eksploitasi berantai yang pertama kali diungkap oleh Volexity pada awal bulan ini. Celah ini dimanfaatkan bersamaan dengan kerentanan bypass otentikasi (CVE-2026-104935, skor CVSS: 8.6) oleh kelompok peretas tak terdokumentasi yang diberi kode UTA0576. CVE-2026-104935 sendiri telah masuk ke katalog KEV sejak 13 Oktober 2026.
"Rangkaian eksploitasi ini memadukan bypass otentikasi, eksekusi kode jarak jauh (RCE), dan eskalasi hak istimewa demi memperoleh eksekusi kode tingkat root tanpa memerlukan otentikasi," terang pihak Volexity.
Berbeda dari serangan umum yang sering memakai kelemahan serupa untuk menanam web shell atau malware berbahaya, UTA0576 terpantau memanfaatkannya guna mencuri kredensial serta sebagian metadata Active Directory; menjalankan pengintaian host; dan melacak kata sandi administrator beserta kunci pemulihan BitLocker.
Ivanti menyatakan bahwa saat rincian masalah diumumkan, pihaknya masih menyempurnakan perbaikan terkait celah eskalasi hak istimewa lokal (LPE) yang digunakan pada rantai serangan tersebut. Pembaruan untuk CVE-2026-111357 dan CVE-2026-118527 kini telah tersedia pada versi ICS berikut –
"Ketika eksploitasi pertama kali terdeteksi, Ivanti telah merancang perbaikan bagi CVE-2026-104935 yang sedang dalam tahap QA untuk varian yang didukung, dan kami memutuskan untuk tidak menunda peluncuran patch krusial ini kepada pengguna guna menutup jalur serangan utama saat celah LPE teridentifikasi," ungkap Ivanti.
"Oleh karena itu, prioritas utama kami mulanya terfokus pada pengungkapan CVE-2026-104935 serta menghadirkan proteksi bagi para pelanggan secepat mungkin."
Perusahaan menambahkan bahwa mereka sempat mengidentifikasi sebagian kerentanan tersebut lewat program pengujian internal dan memperbaikinya pada versi Juli 25.1.3.0, sembari mengupayakan backport penambalan ke versi lain saat serangan terjadi.
Pembaruan terkini berhasil mengatasi seluruh celah yang digabungkan dan dieksploitasi di alam liar. Lembaga Federal Civilian Executive Branch (FCEB) diwajibkan menerapkan perbaikan CVE-2026-111357 selambatnya 2 November 2026, dan CVE-2026-118527 sebelum 13 November 2026.
