Ivanti menyarankan patch segera untuk celah keamanan Connect Secure dieksploitasi

Aktor ancaman remote tanpa hak akses dapat mengeksploitasi kerentanan dengan kompleksitas rendah tanpa interaksi pengguna untuk menjalankan perintah arbitrary pada perangkat ICS yang target.

"Pada saat pengungkapan, Ivanti sadar akan eksploitasi terbatas di alam liar. Kami bekerja langsung dengan organisasi tersebut sambil menyediakan informasi, pembaruan dan remediasi ke pelanggan lebih luas." kata Ivanti.

"Pelanggan seharusnya meninjau advisory keamanan, memperbarui ke versi yang sudah diperbaiki secepat mungkin, dan menjalankan Integrity Checker Tool secara berkala."

Lembaga pengawas ancaman internet Shadowserver sekarang melacak lebih dari 5.500 instance ICS yang terpapar online, meski tidak ada informasi berapa banyak yang merupakan honeypot atau sudah diamankan terhadap serangan berlangsung.

Eksploitasi mulai sejak Oktober 1

Firma keamanan siber Volexity, yang menemukan dan melaporkan kerentanan ini, mengungkapkan bahwa aktor ancaman yang belum dikenal sebelumnya yang mereka track sebagai UTA0576 telah melakukannya sejak setidaknya Oktober 3 dengan menggabungkan CVE-2026-104935 dengan dua kerentanan lain untuk mencapai eksekusi kode root tanpa autentikasi pada perangkat yang sepenuhnya dipatch.

"Menarik, UTA0576 tidak menyebarkan malware atau web shell. Sebaliknya, aktor tersebut merexploitasi perangkat untuk setiap perintah yang dijalankan dan memanipulasi log untuk menutup jejak, menghindari Integrity Checker Tool Ivanti." kata Volexity.

Meskipun Ivanti telah memperbaiki dua kerentanan, masih bekerja untuk menyelesaikan kerentanan privilege escalation yang dieksploitasi UTA0576 sebagai bagian dari rantai tersebut.

Perusahaan keamanan Defused juga mengonfirmasi laporan Volexity, menyatakan bahwa mereka menemukan tanda-tanda eksploitasi CVE-2026-104935 di alam liar mulai Oktober 1.

Pemburu celah sering dieksploitasi karena menyediakan jalan cepat untuk memasuki jaringan perusahaan dan mencuri data sensitif pelanggan dan korporasi.

Ivanti juga telah memperbaiki beberapa kerentanan nol hari lainnya Connect Secure yang dieksploitasi di alam liar selama beberapa tahun terakhir, beberapa di antaranya dalam serangan luas untuk menyebarkan malware.

Ivanti memperbaiki bypass autentikasi (CVE-2023-46805) dan command injection (CVE-2024-21887) awal Januari 2024, serta server-side request forgery (CVE-2024-21893) dua minggu kemudian.

Lebih baru, Ivanti memperbaiki kerentanan remote code execution (RCE) tercatat CVE-2025-0282 pada Januari 2025 dan kerentanan RCE kedua (CVE-2025-22457) yang dieksploitasi oleh spion siber terikat China sejak pertengahan Maret 2025.

CISA telah menandai 36 kerentanan di berbagai produk Ivanti sebagai dieksploitasi di alam liar sejak November 2021, 12 di antaranya juga digunakan oleh gang ransomware.

Ivanti memiliki lebih dari 3.000 karyawan, jaringan lebih dari 7.000 mitra, dan lebih dari 40.000 pelanggan di seluruh dunia menggunakan solusi manajemen aset IT.

Setelah attacker memiliki kredensial yang valid, hanya 37% aksi mereka diblokir.

Skor pencegahan umum bisa menyembunyikan yang terjadi setelah akses awal. Setelah attacker menggunakan kredensial yang valid, pencegahan menurun drastis.

Laporan Biru 2026 mengukur pertahanan teknik per teknik di atas 338 juta simulasi yang dijalankan di produksi pelanggan.