Jakarta — CISA, badan keamanan siber Amerika Serikat, memasukkan satu celah di Ivanti Connect Secure ke daftar Known Exploited Vulnerabilities (KEV) pada 13 Oktober, lalu meminta otoritas sipil federal menyelesaikannya paling lambat 16 Oktober. Peringatannya keras: tidak sekadar update versi, tapi juga forensic triage.
Celah itu berlabel CVE-2026-104935 dan digambarkan sebagai authentication bypass by spoofing dengan skor CVSS 8.6 — penyerang tak perlu kredensial apa pun untuk menjalankan perintah di perangkat. Ivanti Connect Secure sendiri bukan aplikasi biasa: ia adalah gerbang remote access alias VPN yang dipakai karyawan untuk masuk ke jaringan perusahaan.
Bukan satu celah, tapi tiga
Temuan Volexity yang dirilis 13 Oktober menjelaskan kenapa kasus ini berbeda. Penyerang yang mereka lacak sebagai UTA0576 tidak memakai satu lubang, melainkan rantai tiga kerentanan sekaligus: authentication bypass di welcome.cgi, file write di wu.cgi, lalu privilege escalation lewat cara brokernya ICS mempercayai data konfigurasi DSCache.
Kombinasi itu menghasilkan akses root — dan yang membuatnya mengganggu, perangkat korbannya sudah ter-update ke versi terbaru saat itu, 22.8R2.4. Artinya, disiplin patching saja tidak cukup ketika celah yang dieksploitasi memang belum ada patch-nya.
“Awalnya Ivanti menemukan sebagian dari kerentanan ini lewat program product security kami dan menambalnya di rilis Juli 25.1.3.0. Kami sedang mengerjakan backport ke versi yang masih didukung ketika eksploitasi terjadi,” kata Ivanti dalam pernyataannya. Karena temuan internal itu dianggap tidak memenuhi ambang rilis darurat, perbaikannya dijadwalkan masuk siklus rilis normal.
Siapa yang kena, dan seberapa luas
Ivanti mengakui “sejumlah kecil” pelanggan sudah dikompromi sebelum pengungkapan. Volexity menyebut insiden terkonfirmasi paling awal terjadi 1 Oktober, dan tidak menutup kemungkinan aktivitas sudah ada sejak akhir September. Setelah masuk, UTA0576 mencuri kredensial yang tersimpan di perangkat, memuntahkan metadata Active Directory, mengambil password LAPS dan kunci BitLocker, memanipulasi log, lalu melakukan pemetaan jaringan.
Skalanya bisa melebar cepat. Previdian mencatat 105 percobaan eksploitasi ke honeypot-nya hingga 14 Oktober, berasal dari 50 alamat IP unik di Singapura dan Amerika Serikat. Ivanti Connect Secure memang langganan jadi sasaran: CISA sudah mencatat 36 celah produk Ivanti di katalog KEV sejak akhir 2021.
Yang harus dilakukan tim IT
- Patch ke rilis tetap. Versi di bawah 25.1.3.0 (dan 22.8R2.4 untuk jalur lama) wajib diperbarui. Ivanti masih menyiapkan perbaikan untuk bagian privilege escalation-nya, jadi pantau advisory vendor.
- Jangan andalkan Integrity Checker Tool. Volexity maupun CISA menegaskan tool itu tidak mendeteksi apa pun di kasus ini, karena perintah penyerang hanya jalan di memori dan data konfigurasi dikembalikan seperti semula. Pemeriksaan harus lewat forensik jaringan dan memori.
- Anggap kredensial sudah bocor. Kalau ada indikasi kompromi, reset kredensial yang tersimpan di perangkat dan kredensial domain yang bisa dipakai dari situ, lalu cek indikator kompromi yang dirilis Volexity.
Pola ini bukan hal baru di perangkat tepi: perangkat VPN, firewall, dan gateway selalu menarik karena posisinya di depan — begitu dibuka, penyerang tinggal bergerak ke dalam. Yang berubah di kasus Ivanti, penyerang tidak menunggu korban lalai patch; mereka memakai celah yang belum sempat ditambal.
Sumber
- CISA — Known Exploited Vulnerabilities Catalog (CVE-2026-104935, added 13 Okt 2026, due 16 Okt 2026): https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Ivanti — Security Advisory CVE-2026-104935: https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935
- Volexity — “A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days” (13 Okt 2026): https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/
- Help Net Security — “Attackers chained three Ivanti zero-days to gain root on fully patched VPN appliances”: https://www.helpnetsecurity.com/2026/10/14/ivanti-zero-days-gain-root-patched-vpn-appliances/
- CyberScoop — “Ivanti misses opportunity to fix vulnerability before attackers got to work”: https://cyberscoop.com/ivanti-connect-secure-zero-day-actively-exploited/
- The Hacker News — “CISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts”: https://thehackernews.com/2026/10/cisa-urges-immediate-ivanti-connect.html
- Previdian — telemetri CVE-2026-104935 (105 percobaan eksploitasi, 50 IP unik): https://previdian.com/CVE-2026-104935
- NVD — CVE-2026-104935 (CVSS 8.6, CWE-290): https://nvd.nist.gov/vuln/detail/CVE-2026-104935
