Ivanti menambal dua celah baru di gateway VPN Connect Secure yang sudah dipakai penyerang dalam satu rantai serangan. Perusahaan keamanan Volexity menemukan aktivitas ini saat menyelidiki insiden di salah satu pelanggan. Rantai itu memungkinkan penyerang menjalankan kode dengan hak root tanpa login, bahkan pada perangkat yang sudah memasang patch Oktober.
Tiga celah dalam satu rantai
Pintu masuknya adalah CVE-2026-104935 (CVSS 8,6), celah bypass autentikasi yang Ivanti umumkan pada 13 Oktober 2026 dan langsung masuk katalog KEV milik CISA. Dua celah yang baru diperbaiki melengkapi rantai itu. CVE-2026-118527 (CVSS 4,3) memakai pengenal yang bisa ditebak sehingga penyerang terautentikasi dapat mengunggah berkas ke lokasi yang sudah diketahui. CVE-2026-111357 (CVSS 8,8 menurut Ivanti) adalah kekurangan autentikasi pada fungsi penting yang mengangkat hak akses sampai root. Ivanti merilis perbaikan keduanya pada 29 Oktober, dan CISA memasukkan keduanya ke KEV sehari kemudian dengan tenggat instansi federal AS 2 November dan 13 November.
Volexity menyebut pelakunya UTA0576, kelompok yang belum dikenal. Aktivitas paling awal tercatat pada 3 Oktober 2026, dan serangan disebut menyasar sejumlah terbatas pelanggan. Menurut laporan yang dirujuk media, penyerang mencuri kredensial, mengambil data, memindai jaringan korban, dan mengubah log. Volexity menilai dengan keyakinan rendah bahwa motifnya finansial, bukan spionase.
Alat pemeriksa Ivanti tidak cukup
Volexity melaporkan Integrity Checker Tool milik Ivanti tidak mendeteksi aktivitas ini, jadi hasil bersih bukan bukti perangkat aman. Penyerang juga disebut tidak memasang malware atau web shell, melainkan mengeksploitasi ulang perangkat untuk setiap perintah. Pola ini mirip dengan celah SSL VPN Cisco ASA dan FTD yang juga diincar penyerang bulan ini: gateway VPN di tepi jaringan makin sering dijadikan titik masuk pertama.
Langkah yang perlu Anda ambil
Versi terdampak adalah Connect Secure 25.1.1.2 dan lebih lama, serta 22.8R2.5 dan lebih lama. Ivanti menyediakan perbaikan di 25.1.1.3 dan 22.8R2.6. Build 25.1.1.2 dan 22.8R2.5 dari patch Oktober hanya menutup CVE-2026-104935, jadi administrator yang sudah memasangnya tetap harus naik versi lagi. Rincian untuk cabang 25.1.2.x tidak seragam di antara sumber, sehingga cek langsung advisori resmi Ivanti sebelum memilih build.
Bagi perangkat yang terbuka ke internet pada Oktober, simpan memori dan log sebelum reboot atau upgrade, lalu telusuri log sejak 1 Oktober. Periksa akun admin yang baru atau berubah, serta lalu lintas keluar yang janggal. Bila kebersihan perangkat tidak bisa dibuktikan, ganti kredensial, sesi, sertifikat, dan akun layanan Active Directory yang dipakai appliance. Batasi akses antarmuka manajemen dari internet. Sumber juga menyarankan memutar kata sandi LAPS dan kunci pemulihan BitLocker bila kredensial domain terpapar. Daftar indikator rinci ada di laporan Volexity dan advisori Ivanti.
Sumber: Cloudlinktech, blog OpenVPN, dan Techbytes. Gambar: Techbytes.