Ivanti Perbaiki Dua Celah Zero-Day Connect Secure yang Digunakan Hacker untuk Mengambil Alih Server
Ivanti kembali merilis pembaruan keamanan untuk mengatasi dua kerentanan zero-day pada Ivanti Connect Secure (ICS) yang telah dieksploitasi dalam serangan siber sejak awal Oktober 2026.
Kedua celah tersebut, CVE-2026-111357 dan CVE-2026-118527, digunakan bersama kerentanan authentication bypass CVE-2026-104935 yang sebelumnya telah diperbaiki pada 13 Oktober 2026.
Dengan menggabungkan ketiga kerentanan, penyerang dapat melewati autentikasi dan menjalankan perintah dengan hak akses root pada perangkat VPN Ivanti Connect Secure.
Perusahaan keamanan Volexity mengungkap bahwa kelompok hacker yang dilacak sebagai UTA0576 telah menggunakan teknik tersebut untuk menyusup ke jaringan perusahaan, mencuri kredensial, serta menghapus jejak aktivitasnya.
Ivanti telah merilis perbaikan tambahan pada 29 Oktober 2026 dan meminta administrator segera memperbarui perangkat yang terdampak.
Tiga Kerentanan Digabungkan untuk Mendapatkan Akses Root
Ivanti Connect Secure merupakan perangkat gateway VPN yang digunakan perusahaan untuk menyediakan akses jarak jauh ke jaringan internal.
Karena biasanya dapat diakses melalui internet, perangkat ini menjadi target menarik bagi penyerang yang berusaha memasuki infrastruktur perusahaan.
Dalam kampanye terbaru, hacker memanfaatkan tiga kerentanan secara berantai atau exploit chaining.
| Kerentanan | Jenis Masalah | Skor CVSS Ivanti |
|---|---|---|
| CVE-2026-104935 | Authentication bypass dan jalur eksekusi kode | 8.6 |
| CVE-2026-111357 | Privilege escalation | 8.8 |
| CVE-2026-118527 | Upload file melalui mekanisme identifier yang dapat diprediksi | 4.3 |
Serangan dimulai dengan mengeksploitasi kelemahan autentikasi untuk mengakses fungsi internal yang seharusnya terlindungi.
Penyerang kemudian memanfaatkan proses upload file untuk menempatkan dan menjalankan kode berbahaya pada perangkat.
Tahap berikutnya menggunakan celah privilege escalation untuk meningkatkan hak akses hingga tingkat root.
Kombinasi tersebut membuat penyerang dapat mengambil kendali administratif atas perangkat meskipun awalnya tidak memiliki kredensial yang sah.
Hacker Berhasil Menyusup ke Perangkat yang Sudah Diperbarui
Volexity menemukan kampanye tersebut ketika menyelidiki aktivitas mencurigakan pada salah satu pelanggannya pada awal Oktober 2026.
Investigasi mengungkap bahwa penyerang berhasil mengkompromikan perangkat Ivanti Connect Secure yang ketika itu telah menggunakan versi terbaru, yakni 22.8R2.4 Build 19097.
Menurut Volexity, aktivitas eksploitasi telah berlangsung setidaknya sejak 3 Oktober 2026.
Sementara itu, perusahaan intelijen ancaman Defused melaporkan indikasi serangan yang berkaitan dengan CVE-2026-104935 sejak 1 Oktober.
Setelah berhasil memperoleh akses root, kelompok UTA0576 melakukan berbagai aktivitas yang mengarah pada pencurian informasi dan persiapan serangan lanjutan.
Aktivitas yang diamati meliputi pencurian kredensial Active Directory, pengumpulan konfigurasi VPN, pemeriksaan jaringan internal, dan pencarian informasi autentikasi.
Penyerang juga mencoba memperoleh password administrator lokal yang dikelola Windows LAPS serta recovery key BitLocker melalui akses yang telah diperoleh.
Temuan ini menunjukkan bahwa tujuan serangan tidak terbatas pada perangkat VPN, tetapi juga mencakup sistem perusahaan yang terhubung dengannya.
Penyerang Tidak Memasang Backdoor Permanen
Salah satu karakteristik menarik dari kampanye UTA0576 adalah cara penyerang menjalankan perintah tanpa meninggalkan malware permanen.
Menurut Volexity, kelompok tersebut tidak memasang web shell maupun backdoor konvensional pada perangkat yang dikompromikan.
Sebagai gantinya, penyerang menjalankan kembali rangkaian eksploitasi setiap kali ingin mengeksekusi perintah.
Hasil perintah kemudian dikirimkan melalui respons HTTPS dari perangkat yang menjadi korban.
Teknik tersebut membantu mengurangi jejak aktivitas karena tidak memerlukan saluran command-and-control terpisah.
Penyerang juga memodifikasi komponen tertentu secara sementara di memori, lalu mengembalikan konfigurasi setelah perintah berhasil dijalankan.
Selain itu, mereka menghapus catatan terkait serangan dari log debug Ivanti dan Linux audit log.
Akibatnya, penggunaan Integrity Checker Tool milik Ivanti tidak selalu cukup untuk mengidentifikasi kompromi tersebut.
Volexity memperingatkan bahwa perangkat dengan hasil pemeriksaan integritas normal tetap dapat pernah mengalami serangan.
Ivanti Rilis Patch Tambahan pada 29 Oktober 2026
Ivanti sebelumnya telah merilis pembaruan untuk CVE-2026-104935 pada 13 Oktober 2026.
Namun, ketika serangan pertama kali ditemukan, perbaikan untuk kerentanan privilege escalation masih dalam proses pengembangan dan pengujian.
Ivanti memutuskan merilis patch authentication bypass terlebih dahulu karena celah tersebut merupakan jalur utama untuk memulai serangan.
Pada 29 Oktober, perusahaan akhirnya merilis pembaruan tambahan yang menutup dua kerentanan lainnya.
Berikut versi yang menyediakan perbaikan terbaru:
| Cabang Ivanti Connect Secure | Versi Perbaikan |
|---|---|
| ICS 25.1.1.x | 25.1.1.3 |
| ICS 22.8R2.x | 22.8R2.6 |
Administrator yang sebelumnya telah memperbarui perangkat ke versi 25.1.1.2 atau 22.8R2.5 untuk mengatasi CVE-2026-104935 perlu kembali memeriksa kebutuhan pembaruannya.
Kedua versi tersebut belum mencakup seluruh perbaikan yang dirilis pada 29 Oktober.
Ivanti merekomendasikan penggunaan versi terbaru yang didukung untuk memastikan perlindungan terhadap rangkaian kerentanan tersebut.
CISA Masukkan Dua Celah Ivanti ke Katalog KEV
Pada 30 Oktober 2026, badan keamanan siber Amerika Serikat, CISA, menambahkan CVE-2026-111357 dan CVE-2026-118527 ke dalam katalog Known Exploited Vulnerabilities (KEV).
Penambahan tersebut mengonfirmasi bahwa kedua kerentanan telah digunakan dalam serangan nyata.
Untuk lembaga federal Amerika Serikat, CISA menetapkan batas waktu penanganan CVE-2026-111357 pada 2 November 2026 dan CVE-2026-118527 pada 13 November 2026.
CISA juga meminta pemeriksaan forensik khusus untuk kerentanan privilege escalation tersebut.
Meski kewajiban tersebut berlaku bagi lembaga federal AS, organisasi lain tetap disarankan menerapkan pembaruan sesegera mungkin.
Menurut pemantauan Shadowserver yang dikutip dalam laporan awal, terdapat lebih dari 5.000 perangkat Ivanti Connect Secure yang dapat diakses melalui internet.
Namun, belum diketahui berapa banyak perangkat tersebut yang masih menjalankan versi rentan.
Administrator Diminta Melakukan Audit Keamanan
Selain memasang patch terbaru, organisasi yang menggunakan Ivanti Connect Secure perlu melakukan pemeriksaan terhadap kemungkinan kompromi sebelumnya.
Langkah yang direkomendasikan mencakup pemeriksaan log autentikasi, aktivitas jaringan yang berasal dari perangkat VPN, serta akses tidak wajar terhadap sistem internal.
Administrator juga perlu memeriksa kemungkinan pencurian kredensial Active Directory dan informasi sensitif yang dapat diakses melalui perangkat.
Jika ditemukan indikasi kompromi, investigasi forensik perlu dilakukan karena pembaruan software tidak dapat mengembalikan kredensial yang sudah dicuri.
Volexity menekankan bahwa serangan yang beroperasi sementara di memori dan memanipulasi log membutuhkan pemeriksaan lebih mendalam dibandingkan deteksi malware biasa.
Kasus Ivanti Connect Secure memperlihatkan bagaimana tiga kerentanan dengan tingkat keparahan berbeda dapat digabungkan menjadi serangan berbahaya yang memberikan akses root tanpa autentikasi.
Bagi organisasi yang mengandalkan VPN untuk akses jaringan perusahaan, pembaruan keamanan dan pemeriksaan aktivitas mencurigakan menjadi prioritas untuk mencegah kompromi lebih lanjut.
Sumber: Ivanti — Security Advisory: Ivanti Connect Secure CVE-2026-104935
