CVE-2026-104935 trên Ivanti Connect Secure: kiểm tra và vá

Nếu Ivanti Connect Secure đang là cổng VPN cho nhân viên hoặc đối tác, thiết bị này đứng ngay rìa mạng và nhận kết nối từ Internet. Với CVE-2026-104935, việc cần làm không phải chỉ là ghi lịch cập nhật: hãy xác định phiên bản, giảm bề mặt truy cập, cài bản vá và rà dấu hiệu xâm nhập. Lỗ hổng đã được ghi nhận khai thác trước khi công bố.

Ivanti công bố cảnh báo ngày 13/10/2026. Cùng ngày, CISA đưa CVE-2026-104935 vào danh mục Known Exploited Vulnerabilities, viết tắt KEV, tức danh sách lỗ hổng có bằng chứng bị khai thác thực tế. Hạn xử lý mà CISA đặt cho cơ quan liên bang Mỹ là 16/10/2026. Doanh nghiệp Việt Nam không chịu thời hạn đó, nhưng mốc ngắn cho thấy mức ưu tiên vận hành.

CVE-2026-104935 là lỗi gì?

CVE là mã nhận diện chung cho một lỗ hổng. Theo thông báo được Ivanti công bố và Rapid7 tổng hợp, CVE-2026-104935 là lỗi bỏ qua xác thực bằng giả mạo, có điểm CVSS 8,6/10, mức Cao. Kẻ tấn công từ xa không cần đăng nhập có thể thực thi lệnh tùy ý trên thiết bị bị ảnh hưởng.

“Thực thi lệnh” nghĩa là đối tượng tấn công có thể điều khiển hệ thống ở mức nguy hiểm, không chỉ làm gián đoạn đăng nhập VPN. Vì thiết bị VPN thường có đường kết nối tới mạng nội bộ, rủi ro tiếp theo có thể gồm đánh cắp thông tin xác thực, thay đổi cấu hình hoặc di chuyển sang hệ thống khác. Đây là khả năng cần phòng vệ; không nên suy diễn rằng mọi thiết bị chưa vá đã bị xâm nhập.

Phiên bản bị ảnh hưởng và bản đã sửa

Không nên chọn bản vá chỉ dựa vào con số lớn hơn. Hãy đối chiếu đúng nhánh đang chạy, tài liệu nâng cấp, giấy phép và các phụ thuộc như client VPN, xác thực đa yếu tố hoặc tích hợp danh bạ. Nếu thiết bị thuộc cụm dự phòng, kế hoạch phải nêu rõ thứ tự nâng cấp từng nút và cách kiểm tra phiên sau khi chuyển lưu lượng.

Rapid7 cho biết một phần lỗi đã được sửa trong bản 25.1.3.0 phát hành tháng 7/2026, trong khi Ivanti tiếp tục đưa bản sửa về các nhánh còn được hỗ trợ. Vì vậy, đây là lỗi cũ đã có bản sửa ở một nhánh nhưng chỉ được công bố và xác nhận khai thác ngày 13/10, không phải bản vá hoàn toàn mới cho mọi nhánh.

Vá xong chưa có nghĩa là sự cố đã kết thúc

Cài bản vá ngăn việc khai thác tiếp diễn qua lỗ hổng đã biết, nhưng không loại bỏ tài khoản, khóa truy cập hay thay đổi mà kẻ tấn công có thể đã tạo trước đó. Rapid7 dẫn thông tin Ivanti rằng tại thời điểm cảnh báo chưa có bộ chỉ dấu xâm nhập đáng tin cậy đầy đủ. Vì thế, đội vận hành cần kết hợp bản vá với điều tra nhật ký và quy trình phục hồi của hãng.

Nếu thiết bị đã phơi Internet trong thời gian rủi ro, hãy lưu bằng chứng trước khi thay đổi lớn: xuất nhật ký, ghi lại phiên bản, cấu hình, mốc thời gian và các phiên quản trị. Việc khôi phục hoặc cài lại có thể làm mất dấu vết. Khi nghi ngờ bị xâm nhập, nên chuyển sang quy trình ứng phó sự cố và làm theo hướng dẫn phục hồi của Ivanti thay vì chỉ khởi động lại thiết bị.

Checklist xử lý theo thứ tự ưu tiên

1. Lập danh sách mọi Ivanti Connect Secure, gồm phiên bản chính xác, địa chỉ quản trị, trạng thái Internet và vai trò trong cụm.
2. Hạn chế giao diện quản trị chỉ cho mạng quản trị hoặc danh sách địa chỉ tin cậy; không nhầm thao tác này với việc đã vá.
3. Sao lưu cấu hình và thu thập nhật ký cần thiết theo quy trình ứng phó sự cố trước khi thay đổi.
4. Đối chiếu nhánh phiên bản với bảng của Ivanti, đọc ghi chú phát hành và chuẩn bị phương án quay lại nếu tích hợp bị lỗi.
5. Cập nhật lên phiên bản đã sửa, rồi xác minh dịch vụ VPN, xác thực đa yếu tố, định tuyến và cụm dự phòng.
6. Rà tài khoản quản trị mới, phiên đăng nhập bất thường, thay đổi cấu hình, tiến trình lạ và kết nối ra ngoài không mong đợi.
7. Nếu có dấu hiệu xâm nhập, cô lập thiết bị theo khả năng vận hành, kích hoạt ứng phó sự cố và cân nhắc xoay vòng khóa truy cập, token và mật khẩu liên quan.
8. Theo dõi cảnh báo Ivanti sau đợt vá vì phạm vi điều tra và hướng dẫn khôi phục có thể tiếp tục được cập nhật.

Ảnh hưởng với VPS và máy chủ phía sau VPN

Lỗ hổng nằm trên Ivanti Connect Secure, không phải trên mọi VPS. Doanh nghiệp không dùng sản phẩm này không cần nâng cấp VPS chỉ vì CVE-2026-104935. Tuy nhiên, nếu VPN là đường quản trị vào máy chủ, cần xem lại những hệ thống mà tài khoản VPN có thể truy cập và các bí mật từng đi qua phiên quản trị.

Các lớp phòng vệ vẫn hữu ích gồm tách mạng quản trị, giới hạn cổng bằng tường lửa, dùng xác thực đa yếu tố, tài khoản riêng cho quản trị và nhật ký tập trung. Bài cấu hình UFW trên VPS Ubuntu giúp rà quy tắc ở máy chủ đích; bài cập nhật bảo mật Ubuntu VPS phù hợp cho kế hoạch bảo trì lớp hệ điều hành.

Nguồn tham khảo

• Ivanti Security Advisory cho CVE-2026-104935, công bố 13/10/2026
• CISA Known Exploited Vulnerabilities Catalog, thêm CVE ngày 13/10/2026
• CVE.org: hồ sơ CVE-2026-104935
• Rapid7: tổng hợp phạm vi ảnh hưởng và bản đã sửa, 13/10/2026

Nếu doanh nghiệp đang quản trị VPS phía sau Ivanti Connect Secure, hãy chuẩn bị phiên bản thiết bị, sơ đồ đường quản trị, danh sách cổng và thời gian bảo trì dự kiến. Dùng kênh hỗ trợ trên trang Cloud VPS để trao đổi về việc giới hạn truy cập và kiểm tra lớp máy chủ; việc vá thiết bị Ivanti vẫn phải theo hướng dẫn của hãng hoặc đơn vị phụ trách thiết bị.