CVE-2026-104935

Trước phiên bản 25.1.3.0, việc lừa dối xác thực trong ICS cho phép một kẻ tấn công không xác thực từ xa thực hiện các lệnh tùy ý. Điều này không ảnh hưởng đến phiên bản ICS 22.7R2.14 hoặc trước đó.

CNA cấp mã

ivanti

Ngày công bố

13/10/2026

Cập nhật

14/10/2026

CVSS (NVD)

8.6 · HIGH

Loại lỗi (CWE)

CWE-290

EPSS (FIRST)

88.94% khả năng bị khai thác trong 30 ngày

CISA KEV

Ivanti Connect Secure — Lỗ hổng Bypass xác thực bằng Spoofing của Ivanti Connect Secure. Đưa vào 2026-10-13, hạn khắc phục 2026-10-16. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc cập nhật an ninh dựa trên rủi ro (xem URL trong phần ghi chú) và yêu cầu điều tra pháp y của CISA (xem URL trong phần ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không khả dụng. Các bên liên quan có trách nhiệm đánh giá sự phơi bày internet của mỗi tài sản và đảm bảo tuân thủ hướng dẫn cập nhật vá của BOD 26-04.