CISA menambahkan dua celah di Ivanti Connect Secure ke katalog Known Exploited Vulnerabilities (KEV) pada 30 Oktober 2026, yaitu CVE-2026-111357 dan CVE-2026-118527. Keduanya melengkapi CVE-2026-104935 yang sudah masuk daftar sejak 13 Oktober. Menurut peneliti Volexity, penyerang merangkai celah-celah ini untuk mendapat eksekusi kode tingkat root pada gerbang VPN tanpa perlu login.
Tiga celah, satu rantai serangan
Volexity menjelaskan rantai itu terdiri dari bypass autentikasi, eksekusi kode lewat penanganan berkas, dan eskalasi hak akses ke root. CVE-2026-104935 (CVSS 8,6) mencakup bagian awal rantai. CVE-2026-111357 (CVSS 8,8) adalah celah autentikasi yang hilang pada fungsi penting sehingga penyerang lokal terautentikasi bisa menaikkan hak akses. CVE-2026-118527 (CVSS 4,3) berkaitan dengan identifier yang bisa ditebak, yang memungkinkan penyerang jarak jauh terautentikasi mengunggah berkas ke lokasi yang diketahui di disk.
Volexity mengaitkan serangan dengan UTA0576, kelompok yang belum pernah didokumentasikan sebelumnya. Eksploitasi dimulai sekitar 3 Oktober 2026. Pelaku tidak memasang web shell atau backdoor. Mereka menjalankan perintah lewat rantai eksploitasi itu sendiri, mengambil kredensial yang tersimpan di perangkat, lalu menelusuri Active Directory untuk mencari kata sandi administrator lokal dan kunci pemulihan BitLocker. Volexity menilai dengan keyakinan rendah bahwa motifnya kriminal, bukan spionase, dan menyebut tujuan akhir pelaku belum diketahui.
Volexity juga mencatat bahwa Ivanti Integrity Checker tidak mendeteksi rantai ini. Perangkat yang dicurigai perlu diperiksa dengan forensik jaringan dan memori, bukan hanya dengan alat bawaan.
Versi terdampak dan perbaikan
Berdasarkan laporan The Hacker News, CVE-2026-111357 memengaruhi versi 25.1.1.2 ke bawah dan 22.8R2.5 ke bawah. Perbaikannya ada di 25.1.1.3 dan 22.8R2.6, dan versi yang sama disebut menutup CVE-2026-118527. Ivanti menyatakan perbaikan untuk CVE-2026-104935 dirilis lebih dulu tanpa menunggu patch eskalasi hak akses. Volexity menulis bahwa patch CVE-2026-111357 terbit pada 29 Oktober. Daftar versi dari dua sumber ini tidak sepenuhnya seragam, jadi cocokkan nomor build perangkat Anda dengan advisori resmi Ivanti sebelum memutuskan sudah aman atau belum.
Bagi lembaga federal AS, CISA menetapkan tenggat 2 November 2026 untuk CVE-2026-111357 dan 13 November 2026 untuk CVE-2026-118527.
Langkah yang perlu diambil pembaca
Administrator yang menjalankan Connect Secure sebaiknya segera naik ke 25.1.1.3 atau 22.8R2.6 sesuai cabang yang dipakai. Volexity menyarankan memantau lonjakan permintaan ke endpoint login, mencari artefak pasca-eksploitasi di direktori /tmp/, dan menyelidiki setiap upaya gerak lateral dari perangkat VPN. Karena penyerang mengincar kredensial layanan, kata sandi administrator lokal, dan kunci BitLocker, memutar kredensial yang pernah tersimpan atau lewat di perangkat adalah langkah pencegahan yang masuk akal, meski ini kesimpulan kami dan bukan rekomendasi tertulis Volexity.
Bagi organisasi di Indonesia yang memakai Ivanti sebagai akses jarak jauh karyawan, gerbang VPN yang belum ditambal berarti pintu masuk ke jaringan internal, dan perangkat yang sudah diretas bisa membocorkan akun yang berlaku di seluruh domain.
Sumber: The Hacker News dan Volexity. Gambar: The Hacker News.