Lỗ hổng zero-day trong Ivanti Connect Secure bị khai thác, ảnh hưởng đến khách hàng

Ivanti Connect Secure — Lỗ hổng thiếu xác thực cho chức năng quan trọng của Ivanti Connect Secure. Đưa vào KEV ngày 2026-10-30, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-02. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn của nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc ưu tiên cập nhật an ninh dựa trên rủi ro (xem URL trong Ghi chú) và yêu cầu điều tra pháp y (xem URL trong Ghi chú). Theo dõi hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên internet và đảm bảo tuân thủ hướng dẫn BOD 26-04 về việc áp dụng bản vá.

Ivanti Connect Secure 22.8R2.4 xử lý không đúng cách cách mà brokert dsinvoked tin tưởng vào dữ liệu cấu hình DSCache, dẫn đến nâng cấp quyền lên root, như đã được khai thác vào tháng 10 năm 2026.

Ivanti Connect Secure — Lỗ hổng tạo ra số hoặc định danh predictible trong Ivanti Connect Secure. Đưa vào KEV ngày 2026-10-30, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-13. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc ưu tiên cập nhật an ninh dựa trên rủi ro (xem URL trong phần ghi chú) và yêu cầu điều tra pháp y (forensics triage) của CISA (xem URL trong phần ghi chú). Theo dõi hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan chịu trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn khắc phục lỗi (patching) của BOD 26-04.

Sử dụng tên tệp predictible trong Ivanti Connect Secure trước các phiên bản 25.1.1.3 và 22.8R2.6 cho phép kẻ tấn công đã đăng nhập từ xa tải lên các tệp với nội dung do kẻ tấn công kiểm soát đến một vị trí đã biết trên đĩa.

Ivanti Connect Secure — Lỗ hổng Bypass xác thực bằng Spoofing của Ivanti Connect Secure. Đưa vào KEV ngày 2026-10-13, hạn khắc phục với cơ quan liên bang Mỹ: 2026-10-16. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc cập nhật an ninh dựa trên rủi ro (xem URL trong phần ghi chú) và yêu cầu điều tra pháp y của CISA (xem URL trong phần ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không khả dụng. Các bên liên quan có trách nhiệm đánh giá sự phơi bày internet của mỗi tài sản và đảm bảo tuân thủ hướng dẫn cập nhật vá của BOD 26-04.

Trước phiên bản 25.1.3.0, việc lừa dối xác thực trong ICS cho phép một kẻ tấn công không xác thực từ xa thực hiện các lệnh tùy ý. Điều này không ảnh hưởng đến phiên bản ICS 22.7R2.14 hoặc trước đó.

Ivanti Connect Secure, Policy Secure, and ZTA Gateways — Lỗ hổng Tràn Bộ Đệm Dựa Trên Stack của Ivanti Connect Secure, Policy Secure và ZTA Gateways. Đưa vào KEV ngày 2025-01-08, hạn khắc phục với cơ quan liên bang Mỹ: 2025-01-15. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn của CISA được liên kết bên dưới, bao gồm thực hiện các hoạt động tìm kiếm, thực hiện các hành động khắc phục nếu cần thiết và áp dụng các cập nhật trước khi đưa thiết bị trở lại sử dụng.

Trước phiên bản 22.7R2.5 của Ivanti Connect Secure, trước phiên bản 22.7R1.2 của Ivanti Policy Secure và trước phiên bản 22.7R2.3 của Ivanti Neurons for ZTA gateways, tồn tại một lỗ hổng tràn bộ đệm dựa trên stack. Lỗ hổng này cho phép một kẻ tấn công không xác thực từ xa thực hiện mã hóa lệnh từ xa.