Một lỗ hổng bỏ qua xác thực mới được công bố trong Ivanti Connect Secure đã được sử dụng trong các cuộc tấn công, và CISA đang thúc giục các tổ chức hành động nhanh chóng. Được theo dõi với mã CVE-2026-104935, lỗ hổng này được đánh giá ở mức độ nghiêm trọng cao, và một chuyên gia phân tích được trích dẫn trong bài đưa tin của Cyber Daily mô tả nó là "cực kỳ đơn giản" để khai thác. Nếu tổ chức của bạn đang vận hành cổng VPN này, bản vá cho lỗ hổng zero-day của Ivanti Connect Secure nên được đưa lên đầu danh sách ưu tiên của bạn.
Các chi tiết công khai vẫn còn hạn chế, vì vậy bài viết này chỉ bám sát những gì đã được báo cáo và tập trung vào các bước thực tế mà bạn có thể thực hiện.
CVE-2026-104935 là gì và tại sao nó đang bị khai thác
CVE-2026-104935 là một lỗ hổng bỏ qua xác thực trong Ivanti Connect Secure. Nói một cách đơn giản, bỏ qua xác thực cho phép kẻ tấn công vượt qua bước đăng nhập được cho là để ngăn người ngoài truy cập vào hệ thống. Thay vì đánh cắp mật khẩu hoặc lừa đảo người dùng, kẻ tấn công bỏ qua hoàn toàn bước kiểm tra.
Hai chi tiết giải thích lý do tại sao vấn đề này đang thu hút sự chú ý. Thứ nhất, lỗ hổng được mô tả là zero-day mà kẻ tấn công đã nhắm mục tiêu. Thứ hai, một chuyên gia phân tích gọi nó là "cực kỳ đơn giản" để khai thác. Những lỗi đơn giản không cần thông tin đăng nhập và ít kỹ năng thường lan truyền nhanh chóng, vì nhiều kẻ tấn công có thể sử dụng chúng và việc quét tự động trở nên khả thi.
CISA đã thúc giục hành động nhanh chóng. Bài viết nguồn không cung cấp cho chúng ta thêm chi tiết kỹ thuật cụ thể, chẳng hạn như số phiên bản bị ảnh hưởng hoặc danh tính kẻ tấn công, vì vậy hãy kiểm tra khuyến cáo chính thức của Ivanti để biết những chi tiết đó thay vì dựa vào các bản tóm tắt gián tiếp.
Cổng VPN của bạn có bị ảnh hưởng không? Cách kiểm tra dấu hiệu xâm phạm
Bắt đầu với những điều cơ bản: xác nhận liệu bạn có đang vận hành Ivanti Connect Secure hay không, bao gồm cả các thiết bị cũ hoặc bị lãng quên tại văn phòng chi nhánh, môi trường thử nghiệm hoặc triển khai trên đám mây. Các cổng không được quản lý thường là những thiết bị không được vá.
Sau đó so sánh phiên bản đã cài đặt của bạn với các phiên bản được liệt kê trong khuyến cáo của Ivanti. Nếu bạn nằm trong phạm vi bị ảnh hưởng, hãy coi thiết bị đó có rủi ro cho đến khi nó được cập nhật.
Vì các cuộc tấn công được báo cáo là đang diễn ra, chỉ vá thôi có thể không đủ. Một lỗ hổng bỏ qua đã bị khai thác trước khi có bản sửa lỗi có thể đã để lại dấu vết. Các bước hợp lý bao gồm:
- Xem xét nhật ký xác thực và nhật ký quản trị để tìm các lần đăng nhập bất thường, đặc biệt là từ các địa chỉ IP không quen thuộc hoặc vào những giờ kỳ lạ.
- Tìm kiếm các tài khoản mới hoặc đã thay đổi, các thay đổi cấu hình hoặc các tệp không quen thuộc trên thiết bị.
- Chạy bất kỳ công cụ kiểm tra tính toàn vẹn nào mà nhà cung cấp cung cấp và làm theo hướng dẫn của họ về ý nghĩa của các kết quả.
- Kiểm tra xem giao diện quản lý có thể truy cập được từ internet công cộng khi không cần thiết hay không.
Nếu bạn phát hiện bất cứ điều gì đáng ngờ, hãy coi đó là một sự cố: cô lập thiết bị, bảo toàn nhật ký và làm theo hướng dẫn của nhà cung cấp và CISA trước khi đưa nó trở lại hoạt động.
Các bước vá và giảm thiểu theo hướng dẫn của CISA
Hướng dẫn rõ ràng nhất là áp dụng bản sửa lỗi của nhà cung cấp ngay khi có sẵn cho phiên bản của bạn. Việc CISA thúc giục hành động nhanh chóng cho thấy rằng việc chờ đợi đến cửa sổ bảo trì định kỳ là một lựa chọn rủi ro trong trường hợp này.
Một trình tự thực tế như sau:
- Áp dụng bản cập nhật. Cài đặt bản vá do Ivanti cung cấp hoặc làm theo bất kỳ biện pháp giảm thiểu tạm thời nào mà nhà cung cấp công bố nếu bản sửa lỗi chưa có sẵn cho phiên bản của bạn.
- Hạn chế phơi nhiễm. Giới hạn quyền truy cập quản lý cho các mạng tin cậy và, khi có thể, đặt các biện pháp kiểm soát bổ sung trước cổng.
- Xoay vòng thông tin đăng nhập nếu nghi ngờ bị xâm phạm. Điều này bao gồm các tài khoản cục bộ và bất kỳ bí mật nào được lưu trữ trên hoặc có thể truy cập thông qua thiết bị.
- Giám sát sau đó. Duy trì ghi nhật ký ở mức cao trong một khoảng thời gian sau khi vá, vì một cuộc xâm nhập trước đó có thể không xuất hiện ngay lập tức.
- Ghi lại và báo cáo. Ghi lại những gì bạn đã phát hiện và làm, và tuân theo bất kỳ nghĩa vụ báo cáo nào áp dụng cho tổ chức của bạn.
Để biết các phiên bản vá chính xác và các bước giảm thiểu, hãy dựa vào Ivanti và CISA trực tiếp, vì những hướng dẫn đó có thể được cập nhật khi tình hình phát triển.
Tại sao các thiết bị VPN là mục tiêu có giá trị cao
Các cổng VPN nằm ở rìa của mạng, đối mặt với internet theo thiết kế. Điều đó khiến chúng có thể được truy cập bởi bất kỳ ai, và một cuộc xâm phạm thành công có thể cung cấp một tuyến đường trực tiếp đến các hệ thống nội bộ. Kẻ tấn công cũng thích chúng vì những thiết bị này thường chạy với đặc quyền rộng và có thể xử lý thông tin đăng nhập cho nhiều người dùng.
Các thiết bị ở rìa cũng có thể khó giám sát hơn so với máy tính xách tay hoặc máy chủ, vì chúng có thể không hỗ trợ cùng các tác nhân bảo mật. Khoảng trống đó cho kẻ tấn công nhiều thời gian hơn để hoạt động mà không bị phát hiện. Mô hình này là một phần của sự chuyển dịch rộng lớn hơn, trong đó kẻ tấn công nhắm vào cơ sở hạ tầng bảo vệ quyền truy cập, một chủ đề cũng xuất hiện trong bài viết của chúng tôi về cách AI đang chuyển từ trợ thủ của kẻ tấn công sang người điều hành tự động trong các chiến dịch gián điệp gần đây, nơi tốc độ và quy mô có lợi cho kẻ tấn công.
Điều này có ý nghĩa gì với bạn
Nếu bạn quản trị Ivanti Connect Secure, đây là một nhiệm vụ khẩn cấp: xác định các thiết bị của bạn, vá và kiểm tra dấu hiệu xâm phạm. Đừng cho rằng một nhật ký yên tĩnh có nghĩa là thiết bị sạch.
Nếu bạn là nhân viên hoặc người dùng từ xa của VPN công ty, bạn không thể tự vá cổng, nhưng bạn có thể hỏi nhóm IT của mình liệu nó có bị ảnh hưởng không và liệu bản sửa lỗi đã được áp dụng chưa. Sử dụng mật khẩu mạnh, duy nhất và xác thực đa yếu tố trên tài khoản của bạn, và báo cáo bất kỳ lời nhắc đăng nhập hoặc cảnh báo tài khoản bất ngờ nào. Lưu ý rằng bỏ qua xác thực có thể vượt qua đăng nhập, vì vậy những thói quen này giảm thiểu rủi ro nhưng không thay thế việc vá.
Nếu bạn sử dụng dịch vụ VPN tiêu dùng, vấn đề cụ thể này liên quan đến sản phẩm doanh nghiệp của Ivanti, không phải ứng dụng tiêu dùng. Đây vẫn là một lời nhắc hữu ích rằng bất kỳ hệ thống truy cập từ xa nào đối mặt với internet đều cần cập nhật thường xuyên.
Những điểm chính cần ghi nhớ
- Hãy coi bản vá cho lỗ hổng zero-day CVE-2026-104935 của Ivanti Connect Secure là khẩn cấp, vì các cuộc tấn công được báo cáo là đang diễn ra.
- Xác nhận cổng nào của bạn đang chạy Ivanti Connect Secure và kiểm tra phiên bản của chúng so với khuyến cáo của Ivanti.
- Xem xét nhật ký và tính toàn vẹn của thiết bị để tìm dấu hiệu xâm phạm, ngay cả sau khi vá.
- Tuân theo hướng dẫn của CISA và hướng dẫn chính thức của Ivanti khi chúng được cập nhật.
- Nhân dịp này, hãy xem xét lại cách tổ chức của bạn bảo vệ cơ sở hạ tầng truy cập từ xa, bao gồm việc phơi nhiễm các giao diện quản lý và giám sát các thiết bị ở rìa.
Vá trước, điều tra sau, và tiếp tục theo dõi: thứ tự đó cho bạn cơ hội tốt nhất để đi trước vấn đề này.
