Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Jumat memasukkan dua celah keamanan pada Ivanti Connect Secure (ICS) ke dalam katalog Known Exploited Vulnerabilities (KEV) miliknya, menyusul maraknya eksploitasi aktif di dunia maya.
Celah-celah keamanan tersebut tercantum pada rincian berikut –
Perlu dicatat bahwa deretan celah keamanan ini merupakan bagian dari rantai eksploitasi yang pertama kali didokumentasikan oleh Volexity awal bulan ini. Celah tersebut dipersenjatai bersamaan dengan kerentanan bypass otentikasi (CVE-2026-104935, skor CVSS: 8.6) oleh aktor ancaman baru yang belum terdokumentasi dengan kode nama UTA0576. Kerentanan CVE-2026-104935 sendiri sudah dimasukkan ke dalam katalog KEV sejak 13 Oktober 2026.
"Rantai eksploitasi ini memadukan bypass otentikasi, eksekusi kode jarak jauh (RCE), dan eskalasi hak istimewa demi memperoleh eksekusi kode tingkat root tanpa memerlukan otentikasi," terang Volexity.
Berbeda dengan serangan siber lain yang biasanya memanfaatkan celah serupa untuk menanam web shell atau malware, UTA0576 terpantau menggunakan kerentanan ini untuk menyedot kredensial serta sebagian metadata Active Directory, menggelar pengintaian host, sekaligus berburu kata sandi administrator dan kunci pemulihan BitLocker.
Pihak Ivanti menyatakan bahwa ketika rincian tersebut diungkap ke publik, pihaknya tengah mengembangkan perbaikan untuk celah eskalasi hak istimewa lokal (LPE) yang dimanfaatkan pada rantai serangan. Tambalan untuk CVE-2026-111357 dan CVE-2026-118527 kini telah tersedia pada versi ICS berikut –
"Saat aksi eksploitasi terdeteksi, Ivanti telah mengembangkan solusi untuk CVE-2026-104935 yang tengah melalui tahap QA pada versi-versi yang didukung, dan kami mengambil keputusan untuk tidak menunda pengiriman tambalan kepada pelanggan guna menutup jalur eksploitasi utama saat celah LPE ditemukan," jelas Ivanti.
"Oleh sebab itu, perhatian utama kami awalnya dipusatkan pada pengungkapan CVE-2026-104935 serta menghadirkan proteksi bagi seluruh pelanggan kami secepat mungkin."
Perusahaan tersebut turut membeberkan bahwa mereka telah mendeteksi sebagian kerentanan ini lewat program keamanan produk internal dan memperbaikinya pada pembaruan Juli versi 25.1.3.0. Mereka menambahkan sedang berupaya menerapkan perbaikan serupa ke versi lain yang didukung ketika insiden eksploitasi pecah.
Pembaruan termutakhir ini menuntaskan segenap kerentanan yang dirangkai dan dieksploitasi secara luas di lapangan. Instansi Federal Civilian Executive Branch (FCEB) diwajibkan menerapkan tambalan CVE-2026-111357 sebelum 2 November 2026, serta CVE-2026-118527 sebelum 13 November 2026.
