Ivanti Peringatkan Kerentanan Zero-Day pada Connect Secure yang Dieksploitasi Secara Aktif

Ivanti mendesak para pelanggannya pada hari Selasa untuk segera menerapkan pembaruan keamanan guna menambal kerentanan zero-day yang saat ini sedang dieksploitasi secara aktif pada perangkat remote access gateway Ivanti Connect Secure (ICS).

Sebelumnya dikenal dengan nama Pulse Connect Secure dan berawal dari produk Juniper Pulse, perangkat SSL VPN kelas enterprise ini dirancang untuk menyediakan akses aman ke sumber daya korporasi maupun cloud bagi karyawan jarak jauh, kontraktor, serta tenaga kerja hybrid.

Dilacak dengan kode identifikasi CVE-2026-104935, celah authentication bypass dengan tingkat keparahan tinggi (high-severity) ini berdampak pada ICS versi 22.8R2.4 ke bawah, versi 25.1.2.2 ke bawah, serta versi 25.1.1.1 ke bawah. Kerentanan ini memungkinkan threat actor jarak jauh tanpa hak akses khusus (unprivileged) untuk melancarkan serangan dengan kompleksitas rendah dan tanpa memerlukan interaksi pengguna guna mengeksekusi perintah arbitrer (arbitrary commands) pada perangkat ICS yang menjadi target.

Dalam pernyataan resminya, Ivanti mengungkapkan bahwa pada saat celah ini dipublikasikan, pihaknya telah mendeteksi adanya eksploitasi terbatas di dunia nyata (in the wild). Tim keamanan Ivanti saat ini tengah bekerja sama secara langsung dengan organisasi-organisasi yang terdampak sembari menyediakan informasi, pembaruan sistem, dan panduan remediasi bagi komunitas pelanggan yang lebih luas. Pengguna yang masih menjalankan versi rentan sangat disarankan untuk segera meninjau buletin keamanan, melakukan upgrade ke versi yang telah diperbaiki sesegera mungkin, serta menjalankan Integrity Checker Tool secara berkala.

Sementara itu, pemantau ancaman internet Shadowserver saat ini melacak keberadaan lebih dari 5.500 instance ICS yang terekspos secara daring. Meski demikian, belum ada rincian pasti mengenai berapa banyak dari perangkat tersebut yang merupakan honeypot atau yang sudah berhasil diamankan dari gelombang serangan yang sedang berlangsung.

Dieksploitasi Sejak Awal Oktober dengan Teknik Evasion Tanpa Malware

Perusahaan keamanan siber Volexity, yang pertama kali menemukan dan melaporkan celah tersebut, mengungkapkan bahwa kelompok threat actor baru yang dilacak dengan kode UTA0576 telah mengeksploitasi CVE-2026-104935 sejak setidaknya 3 Oktober 2026. Dalam operasinya, penyerang menggabungkan (chaining) celah ini dengan dua kerentanan lainnya untuk mencapai eksekusi kode tingkat root tanpa autentikasi (unauthenticated root-level code execution) pada perangkat yang sebenarnya sudah mendapatkan patch terbaru saat itu.

Menariknya, Volexity mencatat bahwa UTA0576 sama sekali tidak menanamkan malware maupun web shell pada perangkat korban. Sebagai gantinya, penyerang melakukan eksploitasi ulang terhadap perangkat setiap kali hendak menjalankan perintah, lalu memanipulasi catatan log untuk menghapus jejak aktivitas mereka. Taktik ini terbukti efektif untuk menghindari deteksi dari Integrity Checker Tool milik Ivanti.

Meskipun Ivanti telah berhasil menambal dua dari tiga celah yang digunakan dalam rangkaian serangan tersebut, saat ini mereka masih bekerja untuk memperbaiki satu kerentanan privilege escalation lainnya yang turut dimanfaatkan oleh UTA0576 dalam exploit chain yang sama. Di sisi lain, firma threat intelligence Defused turut mengonfirmasi temuan Volexity dan menyatakan bahwa mereka telah menangkap indikasi awal eksploitasi CVE-2026-104935 sejak 1 Oktober 2026.

Rekam Jejak Eksploitasi Perangkat Ivanti oleh Peretas

Berbagai celah keamanan pada produk Ivanti memang kerap menjadi sasaran empuk para peretas, yang sering kali memanfaatkannya sebagai zero-day karena memberikan jalur cepat untuk menembus jaringan internal perusahaan serta mencuri data sensitif milik pelanggan maupun korporasi.

Selama beberapa tahun terakhir, Ivanti tercatat telah menambal sejumlah celah zero-day pada Connect Secure yang dieksploitasi secara luas untuk menyebarkan malware. Pada awal Januari 2024, perusahaan ini memperbaiki celah authentication bypass (CVE-2023-46805) dan command injection (CVE-2024-21887), yang kemudian disusul oleh perbaikan celah Server-Side Request Forgery atau SSRF (CVE-2024-21893) dua minggu setelahnya.

Memasuki tahun 2025, Ivanti kembali memperbaiki kerentanan Remote Code Execution (RCE) dengan kode CVE-2025-0282 pada bulan Januari, serta celah RCE kedua (CVE-2025-22457) yang terbukti dieksploitasi oleh kelompok spionase siber yang terafiliasi dengan Tiongkok sejak pertengahan Maret 2025.

Secara keseluruhan, lembaga keamanan siber Amerika Serikat, Cybersecurity and Infrastructure Security Agency (CISA), telah menandai 36 kerentanan di berbagai lini produk Ivanti sebagai celah yang dieksploitasi secara aktif sejak November 2021, di mana 12 di antaranya turut disalahgunakan oleh berbagai kelompok ransomware. Mengingat skala operasional Ivanti yang didukung oleh lebih dari 3.000 karyawan, jaringan lebih dari 7.000 mitra, serta digunakan oleh lebih dari 40.000 pelanggan di seluruh dunia untuk solusi manajemen aset IT, pengamanan infrastruktur akses jarak jauh ini menjadi prioritas kritis bagi tim keamanan jaringan.

Sumber: Ivanti Security Advisory