Tiga Zero-Day Ivanti Connect Secure Dirangkai untuk Akses Root, Satu Celah Belum Ditambal

Perangkat VPN dibeli untuk menjadi pintu yang terkunci rapat. Dalam kasus terbaru Ivanti, pintu itu justru dibobol saat seluruh pembaruan sudah terpasang, dan alat pemeriksa bawaan vendor tidak melihat apa-apa.

Perusahaan keamanan siber Volexity mengungkap bahwa kelompok peretas yang dijuluki UTA0576 merangkai tiga celah zero-day di Ivanti Connect Secure (ICS) untuk mendapatkan akses root tanpa autentikasi pada perangkat VPN yang sudah diperbarui penuh. Temuan itu dipublikasikan pada Selasa (13/10/2026), bersamaan dengan rilis tambalan Ivanti untuk dua dari tiga celah tersebut. Celah ketiga, berupa eskalasi hak akses, belum diperbaiki.

Dari Header Palsu hingga Perintah sebagai Root

Menurut laporan teknis Volexity, rantai serangan dimulai dari celah bypass autentikasi di berkas welcome.cgi. Penyerang cukup mengirim permintaan ke URL publik dengan header X-DSCGI-PATH yang diarahkan ke berkas CGI terlindungi.

Langkah kedua memanfaatkan wu.cgi, yang menulis skrip Perl unggahan ke disk sebelum memvalidasinya. Celah ini menciptakan race condition, sehingga skrip penyerang bisa dieksekusi sebelum sempat dihapus sistem. Dua celah inilah yang tercakup dalam CVE-2026-104935.

Celah ketiga ada di komponen broker dsinvoked, yang memercayai data konfigurasi DSCache begitu saja. Dari sini penyerang bisa menjalankan perintah sebagai root, level akses tertinggi di sistem Linux.

Tambalan Baru Tersedia, Eskalasi Root Menyusul

Ivanti merilis perbaikan untuk CVE-2026-104935 di versi 22.8R2.5, 25.1.1.2, 25.1.3.0, dan 25.1.3.1. Untuk celah eskalasi hak akses, Ivanti menyatakan perbaikannya akan menyusul "dalam beberapa minggu ke depan", seperti dilaporkan SecurityWeek.

Ivanti mengaku mengetahui eksploitasi yang berdampak pada "sejumlah terbatas pelanggan", tanpa merinci jumlahnya. CVE-2026-104935 berstatus risiko tinggi menurut SecurityWeek.

Tanpa Web Shell, Fokus Mencuri Kredensial

Jejak eksploitasi paling awal tercatat pada 3 Oktober 2026. Volexity mulai menyelidiki aktivitas mencurigakan di salah satu pelanggannya dua hari kemudian, dan menemukan rantai zero-day itu pada pekan pertama Oktober.

UTA0576 tidak memasang backdoor atau web shell. Semua perintah dan hasilnya dilewatkan melalui permintaan HTTPS eksploit itu sendiri. Setelah masuk, kelompok ini mencuri kredensial domain, mencari kata sandi LAPS dan kunci pemulihan BitLocker, melakukan password spraying, serta memindai jaringan internal. Mereka juga menyamarkan tcpdump sebagai dsstatmond untuk menyadap lalu lintas jaringan, lalu menghapus sebagian log untuk menutupi jejak.

Volexity menilai dengan keyakinan tinggi bahwa aktivitas tersebut adalah persiapan untuk bergerak lateral ke seluruh jaringan korban. Operasi itu berhasil dideteksi dan dihentikan sebelum tujuan akhirnya diketahui.

Diduga Dibantu Model Bahasa Besar

Ada dua penilaian lain dari Volexity yang patut dicatat. Pertama, motif UTA0576 diduga kriminal, bukan spionase, meski dengan tingkat keyakinan rendah. Kedua, dengan keyakinan sedang, kelompok ini kemungkinan memakai model bahasa besar (LLM) untuk mengembangkan eksploit dan menjalankan aktivitas pascaeksploitasi.

Masalah lain ada pada alat deteksi. Ivanti Integrity Checker tidak menemukan modifikasi apa pun pada perangkat yang dibobol. "Investigasi forensik diperlukan untuk mengidentifikasi bukti eksploitasi," tulis Volexity.

Karena itu, Volexity menyarankan administrator segera memasang tambalan, memantau lonjakan permintaan ke /dana-na/auth/url_default/welcome.cgi, terutama yang header X-DSCGI-PATH-nya tidak cocok dengan jalur URL, memeriksa folder /tmp/, serta melakukan forensik memori dan jaringan pada perangkat yang dicurigai.

Selama tambalan untuk celah ketiga belum keluar, organisasi pengguna Ivanti Connect Secure masih bergantung pada satu hal: memastikan dua celah yang menjadi pintu masuk rantai serangan ini sudah tertutup. Pertanyaan berikutnya adalah apakah UTA0576 hanya menyasar satu korban yang kebetulan terdeteksi, atau ada organisasi lain yang belum menyadari perangkatnya sudah dibobol.