CISA Peringatkan Administrator untuk Segera Perbaiki Celah Ivanti yang Dieksploitasi sebagai Zero-Day

black red and white textile — Markus Spiske / Unsplash

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) mendesak tim keamanan untuk segera menambal celah pada Ivanti Connect Secure (ICS) yang telah dieksploitasi dalam serangan zero-day sejak setidaknya 1 Oktober.

Kerentanan bypass autentikasi dengan tingkat keparahan tinggi ini dilacak sebagai CVE-2026-104935. Celah tersebut memungkinkan aktor ancaman jarak jauh tanpa hak istimewa untuk mengeksekusi perintah arbitrer pada sistem ICS yang ditargetkan melalui serangan kompleksitas rendah yang tidak memerlukan interaksi pengguna.

Ivanti telah merilis versi ICS 22.8R2.5, 25.1.3.0, 25.1.3.1, dan 25.1.1.2 pada hari Selasa untuk mengatasi masalah keamanan ini. Perusahaan tersebut memperingatkan pelanggan untuk segera bertindak karena adanya eksploitasi terbatas di lapangan.

Perusahaan keamanan siber Volexity melaporkan bahwa aktor ancaman tidak dikenal yang dilacak sebagai UTA0576 telah menggabungkan masalah keamanan ini dengan dua celah lainnya dalam serangan sejak setidaknya 3 Oktober. Rantai eksploitasi ini menggabungkan bypass autentikasi, eksekusi kode jarak jauh (RCE), dan kerentanan eskalasi hak istimewa untuk mencapai eksekusi kode tingkat root tanpa autentikasi. Volexity mengidentifikasi berbagai tindakan pasca eksploitasi yang menargetkan rahasia dan kredensial Active Directory, termasuk kata sandi Local Administrator Password Solution (LAPS) dan kunci pemulihan BitLocker.

Firma intelijen ancaman Defused mengonfirmasi laporan Volexity dan menyatakan bahwa bukti penyalahgunaan CVE-2026-104935 pertama kali ditemukan pada 1 Oktober. Sementara itu, pengawas ancaman internet Shadowserver melacak lebih dari 5.600 host yang terpapar internet dengan sidik jari ICS, meskipun tidak ada informasi mengenai berapa banyak yang sudah diamankan atau merupakan honeypot.

CISA telah menambahkan CVE-2026-104935 ke dalam daftar celah keamanan yang dieksploitasi secara aktif dan memerintahkan lembaga federal untuk mengamankan jaringan mereka paling lambat hari Jumat, sesuai mandat Direktif Operasional Mengikat 26-04 bulan Juni. CISA juga mengeluarkan penasihat terpisah yang mendesak semua tim keamanan dan pembela jaringan untuk segera menambal kerentanan ini serta memeriksa bukti kompromi.

CISA memperingatkan bahwa alat Integrity Checker milik Ivanti mungkin tidak dapat mendeteksi bukti eksploitasi CVE-2026-104935 karena perintah aktor ancaman dieksekusi di dalam memori. Oleh karena itu, organisasi perlu melakukan forensik memori dan jaringan untuk mengidentifikasi bukti eksploitasi.

Sejak November 2021, CISA telah menambahkan 36 kerentanan Ivanti ke dalam daftar masalah keamanan yang dieksploitasi secara aktif, di mana 12 di antaranya juga telah disalahgunakan dalam serangan ransomware.