Ivanti pada 29 Oktober 2026 merilis tambalan untuk CVE-2026-111357, celah eskalasi hak akses di VPN Ivanti Connect Secure. Celah ini menjadi mata rantai yang membawa penyerang dari akses awal ke hak akses root dalam serangan zero-day yang pertama dipetakan Volexity. Buletin Cyber Centre Kanada menyebut CVE-2026-111357 sudah dieksploitasi di dunia nyata, sedangkan Ivanti menggambarkan serangan secara umum terbatas pada sejumlah kecil pelanggan.
Rantai serangan yang sudah berjalan sejak awal Oktober
Volexity melaporkan pada 13 Oktober bahwa pelaku yang mereka lacak sebagai UTA0576 merantai tiga celah di Connect Secure sejak 3 Oktober. Celah pertama, CVE-2026-104935 (CVSS 8,6), melewati autentikasi dan membuka jalan ke eksekusi kode. Ivanti menambalnya pada 13 Oktober dan CISA memasukkannya ke katalog celah yang dieksploitasi pada hari yang sama. Menurut BleepingComputer, rilis perbaikan awal itu adalah 22.8R2.5, 25.1.1.2, 25.1.3.0, dan 25.1.3.1.
Saat laporan Volexity terbit, celah eskalasi hak akses yang menyempurnakan rantai itu belum punya tambalan. Pada 29 Oktober Ivanti menutupnya sebagai CVE-2026-111357, yang oleh Cyber Security News dinilai CVSS 8,8. Media yang sama juga mencantumkan CVE-2026-118527 (CVSS 4,3), kelemahan nama berkas yang bisa ditebak; angka ini baru kami temukan di satu sumber.
Volexity menemukan satu perangkat yang sudah dibobol saat investigasi 5 Oktober, padahal perangkat itu menjalankan 22.8R2.4 (Build 19097), versi terbaru ketika itu. Penyerang mengambil kredensial domain yang tersimpan di perangkat, lalu memakai akun layanan Active Directory milik perangkat untuk menyisir sistem internal, dengan sasaran sandi LAPS dan kunci pemulihan BitLocker. Menurut Cyber Security News, tidak ada backdoor atau web shell yang dipasang, dan sebagian entri log debug serta audit dihapus.
Versi yang perlu dipasang
Cyber Security News melaporkan bahwa menurut pembaruan Ivanti 29 Oktober, rilis 25.1.1.3 dan 22.8R2.6 menutup semua celah yang sudah diungkap di cabang masing-masing. Laman advisori Ivanti tidak bisa kami buka saat penulisan, dan sumber-sumber lain menyebut nomor versi berbeda untuk perbaikan awal. Cocokkan versi yang Anda pasang dengan advisori resmi Ivanti sebelum menganggap perangkat aman.
Langkah yang perlu diambil pengelola
Naikkan Connect Secure ke rilis terbaru di cabang Anda, mulai dari perangkat yang terbuka ke internet. Volexity dan Cyber Security News menyarankan pemeriksaan lalu lintas ke welcome.cgi yang tidak wajar, ketidakcocokan antara jalur URL dan header permintaan, serta berkas mencurigakan di direktori /tmp/ dan koneksi dari VPN ke sistem internal. Alat Integrity Checker milik Ivanti saja tidak cukup, karena Volexity menemukan perubahan yang hanya hidup di memori lolos dari pemeriksaannya. Bila ada dugaan perangkat sudah disusupi, lakukan analisis memori, disk, dan jaringan, lalu anggap kredensial domain yang tersimpan di perangkat sebagai bocor dan ganti semuanya.
Tim yang masih memakai cabang 22.7 dan 22.8 perlu merencanakan migrasi ke cabang 25.1, karena menurut SOCRadar kedua cabang itu mencapai akhir masa dukungan pada 31 Januari 2027.
Sumber: Volexity, Cyber Security News, BleepingComputer, Cyber Centre Kanada, SOCRadar. Gambar: Volexity.