Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Jumat resmi memasukkan dua kerentanan keamanan yang menyerang Ivanti Connect Secure (ICS) ke dalam katalog Known Exploited Vulnerabilities (KEV), menyusul ditemukannya eksploitasi aktif di dunia maya.
Daftar kerentanan tersebut dirinci sebagai berikut –
Penting dicatat bahwa celah keamanan ini merupakan bagian dari rantai eksploitasi yang pertama kali didokumentasikan oleh Volexity awal bulan ini. Rangkaian celah ini dipersenjatai bersamaan dengan kelemahan bypass autentikasi (CVE-2026-104935, skor CVSS: 8.6) oleh kelompok ancaman yang sebelumnya belum teridentifikasi dengan nama samaran UTA0576. Kerentanan CVE-2026-104935 sendiri telah dimasukkan ke dalam katalog KEV pada tanggal 13 Oktober 2026.
"Rantai eksploitasi ini memadukan bypass autentikasi, eksekusi kode jarak jauh (RCE), dan kerentanan eskalasi hak istimewa untuk memperoleh eksekusi kode tingkat root tanpa perlu melakukan autentikasi," terang Volexity.
Berbeda dari pola serangan umum yang kerap memanfaatkan kelemahan serupa untuk menanam web shell ataupun malware, kelompok UTA0576 teramati menggunakan celah tersebut untuk mengekstraksi kredensial login serta metadata Active Directory dalam jumlah terbatas; melakukan pengintaian host sasaran; serta memburu kata sandi administrator dan kunci pemulihan BitLocker perangkat.
Pihak Ivanti menyampaikan bahwa saat rincian masalah diumumkan ke publik, mereka masih berupaya menyelesaikan perbaikan untuk kerentanan eskalasi hak istimewa lokal (LPE) yang disalahgunakan dalam alur penyerangan tersebut. Pembaruan tambalan untuk CVE-2026-111357 dan CVE-2026-118527 kini telah tersedia secara resmi pada versi ICS berikut –
"Pada waktu eksploitasi pertama kali ditemukan, Ivanti telah merancang perbaikan untuk CVE-2026-104935 yang sedang dalam tahap QA untuk berbagai versi yang didukung, dan kami mengambil langkah guna tidak menunda penyaluran solusi bagi pelanggan demi menutup jalur eksploitasi utama saat LPE terdeteksi," papar Ivanti.
"Oleh karena alasan tersebut, konsentrasi utama kami awalnya terpusat penuh pada pengungkapan CVE-2026-104935 dan penyediaan perlindungan secepat mungkin kepada seluruh basis pelanggan kami."
Perusahaan tersebut menambahkan bahwa mereka sempat mengidentifikasi sebagian kerentanan ini melalui program keamanan produk internal dan telah memperbaikinya pada pembaruan Juli versi 25.1.3.0. Pihaknya sedang menyiapkan backport perbaikan ke versi terdampak lainnya ketika insiden eksploitasi terjadi.
Rilis terbaru kini menambal tuntas seluruh kerentanan gabungan yang dieksploitasi di alam liar. Seluruh badan Federal Civilian Executive Branch (FCEB) diwajibkan menerapkan pembaruan tambalan CVE-2026-111357 sebelum 2 November 2026, dan CVE-2026-118527 selambatnya pada 13 November 2026.
