Tiga Zero-Day Ivanti Connect Secure Dirantai ke Root

Kalau kantormu memakai Ivanti Connect Secure (ICS) sebagai gerbang VPN, patch bulan Oktober saja belum cukup. Penyerang ternyata merantai tiga celah zero-day sekaligus untuk mendapatkan eksekusi kode setingkat root tanpa login, bahkan di perangkat yang saat itu sudah memakai versi terbaru.

Jawaban singkatnya: naikkan ICS ke 22.8R2.6 (lini 22.8) atau 25.1.1.3 (lini 25.1.1), versi yang menurut Ivanti menambal semua celah dalam rantai itu. Setelah itu, periksa apakah perangkatmu sempat disusupi, karena patch tidak menghapus jejak yang sudah terjadi.

Apa yang terjadi pada Ivanti Connect Secure?

Volexity, perusahaan riset keamanan, menemukan serangan ini saat menangani insiden di salah satu kliennya. Menurut laporan SecurityWeek, Volexity melihat eksploitasi sejak 3 Oktober 2026. Perusahaan lain, Defused, mengaku melihat tanda pertama di umpan (decoy) mereka sejak 1 Oktober 2026.

Volexity melacak pelakunya dengan nama UTA0576, kelompok yang sebelumnya belum pernah didokumentasikan. Volexity menilai, dengan tingkat keyakinan rendah, motifnya lebih ke kriminal daripada spionase.

Ivanti menerbitkan advisory pertama pada 13 Oktober 2026 untuk CVE-2026-104935, celah bypass autentikasi bertingkat tinggi. Saat itu, celah eskalasi hak akses dalam rantai yang sama belum ada perbaikannya. Ivanti memilih merilis perbaikan yang sudah siap lebih dulu daripada menunggu semuanya lengkap. Dua celah sisanya baru ditambal di pembaruan advisory akhir Oktober, menurut laporan media pada 29 Oktober 2026.

Bagaimana tiga celah itu dirantai?

Masing-masing celah tidak terlalu berbahaya bila berdiri sendiri. Masalahnya muncul saat ketiganya disambung.

Lihat skor 4.3 di tabel itu. Kalau tim hanya memprioritaskan patch berdasarkan angka CVSS, celah seperti ini mudah terlewat, padahal ia menjadi salah satu mata rantai menuju root. Ini contoh nyata kenapa membaca skor CVSS perlu disertai konteks eksploitasi.

Kenapa serangan ini sulit dideteksi?

Bagian ini yang membuat banyak admin khawatir. Menurut BleepingComputer, UTA0576 tidak memasang malware atau web shell. Pelaku mengeksploitasi ulang perangkat setiap kali ingin menjalankan satu perintah, lalu memanipulasi log agar lolos dari Integrity Checker Tool milik Ivanti.

Artinya, pemindaian yang mencari file asing di perangkat bisa memberi hasil bersih walaupun perangkat sudah dibobol.

Volexity juga melaporkan apa saja yang dilakukan pelaku setelah masuk:

• Mencuri kredensial domain yang tersimpan di perangkat dan mengambil sebagian metadata Active Directory.
• Mencari kata sandi LAPS dan kunci pemulihan BitLocker di Active Directory dengan alat buatan sendiri.
• Melakukan password spraying dan menguji kredensial lewat Kerberos.
• Memindai jaringan dan membaca log autentikasi untuk mencari nama pengguna yang valid.

Volexity yakin aktivitas ini adalah persiapan untuk bergerak lebih jauh ke dalam jaringan korban, walau operasinya keburu terdeteksi sebelum tujuan akhirnya jelas.

Versi mana yang harus dipasang?

Kalau kamu sudah update ke 22.8R2.5 atau 25.1.1.2 setelah advisory pertama, perangkatmu masih terdampak dua celah lainnya dan harus update lagi. Ivanti menyatakan rilis terbarunya menangani semua celah yang dirantai dan dieksploitasi. Untuk lini 25.1.2 dan 25.1.3, sumber yang kami rujuk tidak merinci versi perbaikannya, jadi cocokkan langsung dengan tabel di advisory Ivanti di portal pelanggan.

Apa yang perlu dilakukan sekarang?

Langkah 3 sampai 5 adalah praktik umum penanganan insiden, bukan instruksi resmi Ivanti. Sesuaikan dengan panduan respons insiden di organisasimu.

Seberapa luas dampaknya?

CISA memasukkan CVE-2026-104935 ke katalog KEV pada 13 Oktober 2026, lalu menyusulkan CVE-2026-111357 dan CVE-2026-118527 pada 30 Oktober 2026. Masuknya celah ke KEV berarti sudah ada bukti eksploitasi nyata. Menurut BleepingComputer, Shadowserver memantau lebih dari 5.000 instance ICS yang terbuka ke internet, tetapi berapa yang sudah ditambal belum diketahui.

Ini bukan pertama kalinya Ivanti Connect Secure jadi sasaran. Awal 2025, CVE-2025-0282 juga dieksploitasi sebagai zero-day. Pola yang berulang ini wajar membuat sebagian tim mulai menimbang pendekatan lain seperti Zero Trust Network Access untuk mengurangi ketergantungan pada satu gerbang VPN yang terbuka ke internet.