Ivanti đã phát hành bản cập nhật bảo mật cho hai lỗ hổng nữa trong cổng truy cập từ xa Connect Secure (ICS) của mình, và công ty cho biết chúng đã được chuỗi lại với nhau trong các cuộc tấn công zero-day kể từ ít nhất ngày 1 tháng 10. Nếu tổ chức của bạn đang vận hành thiết bị này, thì bản vá zero-day cho Ivanti Connect Secure này là một trong những bản vá cần ưu tiên.

Các thông tin chi tiết hiện có vẫn còn hạn chế, vì vậy bài viết này chỉ tập trung vào những gì đã được báo cáo và nhấn mạnh các bước thực tế dành cho quản trị viên và nhân viên những người phụ thuộc vào cổng này.

Ivanti đã vá những gì và thời điểm các cuộc tấn công bắt đầu

Theo báo cáo, Ivanti đã phát hành các bản cập nhật bao gồm hai lỗ hổng bổ sung trong Connect Secure, cổng truy cập từ xa mà nhiều tổ chức sử dụng để cho phép nhân viên truy cập vào các hệ thống nội bộ từ bên ngoài văn phòng. Các lỗ hổng này đã bị khai thác như zero-day, nghĩa là kẻ tấn công đã sử dụng chúng trước khi có bản vá.

Chi tiết quan trọng về mốc thời gian là các cuộc tấn công đã diễn ra kể từ ít nhất ngày 1 tháng 10. Cụm từ "ít nhất" rất quan trọng: nó cho thấy đây là hoạt động sớm nhất được xác nhận cho đến nay, chứ không nhất thiết là hoạt động đầu tiên. Các tổ chức đã vận hành thiết bị chưa được vá trong khoảng thời gian đó nên cân nhắc khả năng mình đã bị phơi nhiễm, thay vì cho rằng chỉ riêng bản vá là đủ để khép lại vấn đề.

Các lỗ hổng này cũng đã được chuỗi lại, nghĩa là kẻ tấn công đã kết hợp chúng thay vì chỉ dựa vào một lỗi duy nhất. Chi tiết này định hình cách các chuyên gia phòng thủ nên suy nghĩ về rủi ro.

Vì sao các khai thác chuỗi trên cổng VPN lại nguy hiểm đến vậy

Một cổng truy cập từ xa nằm ở rìa của mạng. Theo thiết kế, nó có thể được truy cập từ internet và được tin cậy để kết nối người dùng bên ngoài với các tài nguyên nội bộ. Sự kết hợp đó khiến nó trở thành mục tiêu có giá trị cao: một vụ xâm nhập thành công có thể mang lại chỗ đứng ở một vị trí vừa bị phơi nhiễm vừa được kết nối tốt.

Việc chuỗi lại càng làm vấn đề nghiêm trọng hơn. Một lỗ hổng có thể cho kẻ tấn công quyền truy cập hạn chế, trong khi lỗ hổng thứ hai có thể mở rộng quyền truy cập đó hoặc biến nó thành thứ mạnh mẽ hơn. Khi được sử dụng cùng nhau, hai lỗ hổng mà mỗi lỗi riêng lẻ có thể vẫn kiểm soát được lại có thể cộng dồn thành một vấn đề lớn hơn nhiều. Những người phòng thủ phân loại bằng cách xem xét từng lỗi một cách riêng lẻ có thể đánh giá thấp tác động thực tế.

Đây cũng là một phần của một xu hướng rộng hơn. Bài viết trước của chúng tôi về lỗ hổng bỏ qua xác thực Ivanti Connect Secure được theo dõi với mã CVE-2026-104935 đã mô tả một lỗ hổng khác trong cùng sản phẩm vốn đã bị sử dụng trong các cuộc tấn công. Việc chứng kiến vòng zero-day thứ hai trong cùng một cổng càng nhấn mạnh lý do tại sao những thiết bị này cần được chú ý kỹ lưỡng.

Cách kiểm tra xem cổng VPN công việc của bạn đã được vá chưa

Nếu bạn quản trị Connect Secure, hãy bắt đầu với những điều cơ bản:

  • Xác nhận phiên bản thiết bị của bạn. Kiểm tra phiên bản đang chạy và so sánh với các bản phát hành đã được sửa được liệt kê trong khuyến cáo bảo mật của Ivanti về hai lỗ hổng này.
  • Xem lại lịch sử cập nhật của bạn. Xác minh rằng bản cập nhật đã thực sự được áp dụng và thiết bị đã khởi động lại vào bản dựng đã được vá, chứ không chỉ được tải xuống.
  • Nhìn lại từ ngày 1 tháng 10. Vì các cuộc tấn công bắt đầu từ ít nhất ngày đó, hãy xem lại nhật ký và mọi kết quả kiểm tra tính toàn vẹn từ giai đoạn đó trở đi.
  • Kiểm tra các bản vá liên quan. Đảm bảo các bản vá trước đó, bao gồm bản vá cho vấn đề CVE-2026-104935, cũng đã được áp dụng.

Nếu bạn là nhân viên chứ không phải quản trị viên, bạn không thể tự vá thiết bị, nhưng bạn có thể hỏi nhóm IT hoặc bảo mật của mình liệu cổng Connect Secure đã nhận được bản cập nhật mới nhất chưa. Một câu hỏi ngắn gọn, trực tiếp là hợp lý và thường được hoan nghênh.

Phải làm gì nếu thiết bị Connect Secure của bạn chưa được cập nhật

Hãy áp dụng các bản vá ngay khi quy trình thay đổi của bạn cho phép. Vì những lỗ hổng này đang bị khai thác trong thực tế, việc chờ đợi đến cửa sổ bảo trì định kỳ mang lại rủi ro thực sự.

Trong khi chuẩn bị cập nhật, hãy cân nhắc giới hạn những ai có thể truy cập vào các giao diện quản lý của thiết bị và tuân theo mọi hướng dẫn giảm thiểu tạm thời mà Ivanti cung cấp. Sau khi vá, hãy chạy các công cụ kiểm tra tính toàn vẹn của nhà cung cấp nếu có, và tìm kiếm các phiên bất thường, các thay đổi cấu hình không mong đợi hoặc các tài khoản mà bạn không nhận ra. Nếu bạn phát hiện dấu hiệu xâm nhập, hãy coi đó là một sự cố: cô lập thiết bị, bảo toàn nhật ký và liên hệ với nhóm ứng phó sự cố của bạn trước khi đặt lại thông tin đăng nhập có thể đã đi qua cổng.

Điều này có ý nghĩa gì với bạn

Đối với quản trị viên, thông điệp rất rõ ràng: xác minh phiên bản của bạn, vá và điều tra giai đoạn từ ngày 1 tháng 10. Một thiết bị đã được vá không tự động trở nên sạch nếu nó đã bị phơi nhiễm trước khi cập nhật.

Đối với người dùng thông thường của VPN công ty, không có phần mềm nào cần cài đặt trên thiết bị của chính bạn cho vấn đề này, vì thành phần dễ bị tổn thương là cổng. Tuy nhiên, đây là thời điểm tốt để sử dụng mật khẩu mạnh và duy nhất, bật xác thực đa yếu tố khi được cung cấp, và báo cáo bất kỳ điều gì kỳ lạ, chẳng hạn như lời nhắc đăng nhập bất ngờ hoặc cảnh báo đăng nhập.

Những điểm chính cần ghi nhớ

  • Ivanti đã phát hành bản cập nhật cho hai lỗ hổng nữa trong Connect Secure bị chuỗi trong các cuộc tấn công zero-day kể từ ít nhất ngày 1 tháng 10.
  • Các cổng truy cập từ xa là mục tiêu hấp dẫn vì chúng hướng ra internet và được tin cậy.
  • Các lỗ hổng bị chuỗi có thể gây thiệt hại nhiều hơn so với từng lỗi riêng lẻ.
  • Xác nhận phiên bản thiết bị của bạn, áp dụng bản vá zero-day cho Ivanti Connect Secure ngay bây giờ, và xem lại hoạt động từ ngày 1 tháng 10 trở đi.
  • Để biết thông tin nền về xu hướng đang diễn ra, hãy đọc báo cáo trước đó của chúng tôi về lỗ hổng bỏ qua xác thực CVE-2026-104935.

Nếu bạn sử dụng hoặc quản trị Ivanti Connect Secure, hãy kiểm tra phiên bản của bạn ngay hôm nay và áp dụng các bản cập nhật mà không chậm trễ.