CVE-2026-118527

Sử dụng tên tệp predictible trong Ivanti Connect Secure trước các phiên bản 25.1.1.3 và 22.8R2.6 cho phép kẻ tấn công đã đăng nhập từ xa tải lên các tệp với nội dung do kẻ tấn công kiểm soát đến một vị trí đã biết trên đĩa.

Bạn tra cứu quá nhanh — thử lại sau 32 giây.

CVSS (NVD)

4.3 · MEDIUM

Loại lỗi (CWE)

CWE-340

EPSS (FIRST)

0.82% khả năng bị khai thác trong 30 ngày

CISA KEV

Ivanti Connect Secure — Lỗ hổng tạo ra số hoặc định danh predictible trong Ivanti Connect Secure. Đưa vào 2026-10-30, hạn khắc phục 2026-11-13. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc ưu tiên cập nhật an ninh dựa trên rủi ro (xem URL trong phần ghi chú) và yêu cầu điều tra pháp y (forensics triage) của CISA (xem URL trong phần ghi chú). Theo dõi hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan chịu trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn khắc phục lỗi (patching) của BOD 26-04.