CISA Peringatkan Administrator Segera Tambal Celah Keamanan Zero-Day pada Ivanti Connect Secure
Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) mendesak seluruh tim keamanan dan administrator IT untuk segera menambal celah keamanan berbahaya pada perangkat Ivanti Connect Secure (ICS) yang telah dieksploitasi secara aktif dalam serangan zero-day setidaknya sejak 1 Oktober 2026.
Dilacak dengan kode identifikasi CVE-2026-104935, kerentanan authentication bypass dengan tingkat keparahan tinggi (high-severity) ini memungkinkan pelaku ancaman jarak jauh tanpa hak akses (unauthenticated) untuk mengeksekusi perintah arbitrer pada sistem ICS yang menjadi target, cukup melalui serangan berkerumitan rendah tanpa memerlukan interaksi pengguna sama sekali.
Pihak Ivanti telah merilis pembaruan ICS versi 22.8R2.5, 25.1.3.0, 25.1.3.1, dan 25.1.1.2 pada hari Selasa guna mengatasi celah keamanan tersebut. Perusahaan juga memperingatkan para pelanggannya untuk segera bertindak cepat menyusul ditemukannya indikasi eksploitasi terbatas di dunia nyata (in the wild).
Meskipun Ivanti tidak membagikan rincian tambahan mengenai serangan yang sedang berlangsung terhadap CVE-2026-104935, firma keamanan siber Volexity melaporkan bahwa kelompok peretas tak dikenal yang dilacak dengan kode UTA0576 telah menggabungkan (chaining) celah keamanan ini bersama dua kerentanan lainnya dalam aksi serangan sejak setidaknya 3 Oktober 2026.
Dalam laporannya, Volexity menjelaskan bahwa rantai eksploitasi (exploit chain) tersebut menggabungkan celah authentication bypass, eksekusi kode jarak jauh (Remote Code Execution / RCE), serta kerentanan peningkatan hak akses (privilege escalation) demi mencapai eksekusi kode tingkat root tanpa autentikasi. Kerentanan RCE dan authentication bypass tersebut kini dilacak di bawah kode CVE-2026-104935.
Lebih lanjut, Volexity mengidentifikasi serangkaian aktivitas pasca-eksploitasi yang dijalankan oleh pelaku ancaman untuk menyasar kredensial dan data rahasia pada Active Directory, termasuk kata sandi Local Administrator Password Solution (LAPS) serta kunci pemulihan (recovery keys) BitLocker. Firma intelijen ancaman Defused turut mengonfirmasi temuan Volexity tersebut dan menyatakan bahwa pihaknya pertama kali menemukan bukti penyalahgunaan CVE-2026-104935 pada 1 Oktober 2026.
Sementara itu, lembaga pemantau ancaman internet Shadowserver saat ini melacak keberadaan lebih dari 5.600 host yang terekspos ke publik dengan jejak fingerprint ICS. Kendati demikian, belum ada informasi pasti mengenai berapa banyak dari sistem tersebut yang telah diamankan dari serangan aktif, maupun berapa banyak di antaranya yang sebenarnya merupakan sistem jebakan (honeypots) yang dipasang peneliti untuk memantau aktivitas berbahaya.
Instruksi Darurat CISA dan Tantangan Deteksi di Memori
Pada hari Selasa, CISA secara resmi memasukkan CVE-2026-104935 ke dalam daftar katalog kerentanan yang dieksploitasi secara aktif (Known Exploited Vulnerabilities / KEV). Lembaga tersebut juga memerintahkan seluruh instansi pemerintah federal AS untuk mengamankan jaringan mereka paling lambat hari Jumat ini, sesuai dengan mandat Binding Operational Directive (BOD) 26-04 yang diterbitkan pada bulan Juni lalu.
Walaupun mandat BOD 26-04 secara spesifik hanya mengikat instansi Federal Civilian Executive Branch (FCEB), CISA turut mengeluarkan peringatan terpisah yang mendesak seluruh tim keamanan siber dan pengelola jaringan di berbagai organisasi swasta maupun publik untuk segera memasang patch serta memeriksa potensi penyusupan.
CISA memperingatkan bahwa pelaku kejahatan siber memanfaatkan celah zero-day authentication bypass ini untuk menjalankan pencurian kredensial dan eksfiltrasi data. Organisasi yang ingin memastikan apakah sistem mereka telah disusupi diwajibkan untuk melakukan analisis forensik jaringan dan memori (network and memory forensics) guna menemukan bukti eksploitasi. Hal ini dikarenakan alat pemeriksaan bawaan Ivanti Integrity Checker Tool berpotensi gagal mendeteksi jejak eksploitasi CVE-2026-104935, mengingat perintah yang dijalankan oleh peretas dieksekusi sepenuhnya di dalam memori (in memory) tanpa meninggalkan jejak modifikasi berkas permanen di penyimpanan.
Panduan Pemulihan Sistem dan Riwayat Celah Ivanti
Apabila administrator menemukan indikasi bahwa perangkat Ivanti ICS di jaringan mereka telah disusupi, CISA merekomendasikan langkah-langkah pemulihan berikut secara berurutan:
- Membuat cadangan (backup) dari konfigurasi perangkat appliance saat ini.
- Melakukan pengaturan ulang pabrik (factory reset) dan memperbarui perangkat ke versi perangkat lunak paling mutakhir (untuk sistem berbasis cloud dan virtual, lakukan rebuild pada virtual instance lalu perbarui ke versi terbaru).
- Memulihkan (restore) konfigurasi perangkat menggunakan berkas cadangan yang telah dibuat pada langkah pertama.
- Mengatur ulang (reset) seluruh kata sandi untuk semua akun, termasuk akun domain, administrator, maupun akun lokal. Selain itu, cabut (revoke) dan terbitkan ulang sertifikat yang tersimpan, serta atur ulang seluruh API key dan kredensial license server.
Dalam beberapa tahun terakhir, Ivanti tercatat telah menambal sejumlah celah zero-day lain pada produk Connect Secure yang dieksploitasi di dunia nyata. Rangkaian insiden tersebut mencakup celah authentication bypass (CVE-2023-46805) dan command injection (CVE-2024-21887) pada awal Januari 2024, yang disusul celah Server-Side Request Forgery (CVE-2024-21893) dua minggu kemudian.
Belum lama ini, Ivanti juga menambal celah RCE (CVE-2025-0282) pada Januari 2025 serta kerentanan RCE lainnya (CVE-2025-22457) yang dieksploitasi oleh kelompok spionase siber terafiliasi Tiongkok sejak pertengahan Maret 2025. Secara keseluruhan, terhitung sejak November 2021, CISA telah memasukkan total 36 kerentanan Ivanti ke dalam daftar celah keamanan yang dieksploitasi secara aktif, di mana 12 di antaranya diketahui turut disalahgunakan dalam berbagai operasi serangan ransomware.
Sumber: CISA
