Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Jumat resmi memasukkan dua kerentanan keamanan Ivanti Connect Secure (ICS) ke dalam katalog Known Exploited Vulnerabilities (KEV), menyusul ditemukannya eksploitasi aktif di dunia nyata.
Daftar kerentanan tersebut tercantum di bawah ini –
Perlu dicatat bahwa celah keamanan ini merupakan bagian dari rantai eksploitasi yang pertama kali didokumentasikan oleh Volexity awal bulan ini. Celah tersebut dipersenjatai bersamaan dengan kelemahan bypass autentikasi (CVE-2026-104935, skor CVSS: 8.6) oleh aktor ancaman baru yang belum terdokumentasi bernama UTA0576. CVE-2026-104935 sendiri telah masuk ke katalog KEV pada 13 Oktober 2026.
"Rantai eksploitasi ini menggabungkan bypass autentikasi, eksekusi kode jarak jauh (RCE), dan kerentanan eskalasi hak istimewa untuk meraih eksekusi kode tingkat root tanpa autentikasi," terang Volexity.
Berbeda dari serangan umum yang biasanya memanfaatkan celah serupa untuk menanam web shell atau perangkat lunak berbahaya, UTA0576 terpantau memanfaatkannya guna mencuri kredensial dan sebagian metadata Active Directory; menjalankan pengintaian host; serta melacak kata sandi administrator beserta kunci pemulihan BitLocker.
Ivanti mengungkapkan, ketika informasi tersebut dirilis ke publik, pihaknya tengah mengembangkan perbaikan untuk kerentanan eskalasi hak istimewa lokal (LPE) yang dipakai dalam rangkaian serangan ini. Pembaruan untuk CVE-2026-111357 dan CVE-2026-118527 sekarang sudah tersedia pada versi ICS berikut –
"Saat aksi eksploitasi terdeteksi, Ivanti telah menyiapkan perbaikan untuk CVE-2026-104935 yang tengah melalui tahap QA pada versi yang didukung, dan kami memutuskan untuk tidak menunda pengiriman patch yang mengatasi jalur eksploitasi primer tersebut saat celah LPE terungkap," jelas Ivanti.
"Oleh sebab itu, fokus awal kami dipusatkan pada pengungkapan CVE-2026-104935 serta menghadirkan perlindungan bagi pelanggan secepat mungkin."
Pihak perusahaan turut menyatakan telah mengidentifikasi sebagian kerentanan ini lewat program keamanan produk mereka lalu menambalnya pada pembaruan Juli versi 25.1.3.0. Mereka menambahkan sedang menyiapkan backport perbaikan ke versi terdampak lainnya saat serangan aktif berlangsung.
Pembaruan terkini berhasil mengatasi seluruh kerentanan yang digabungkan dan dieksploitasi tersebut. Agensi Federal Civilian Executive Branch (FCEB) diwajibkan menerapkan patch untuk CVE-2026-111357 paling lambat 2 November 2026, dan CVE-2026-118527 paling lambat 13 November 2026.
About the Author
