Lỗ hổng VPN Ivanti Connect Secure: cập nhật lại và kiểm tra xâm nhập

Ngày đăng04/11/2026
9 phút đọc

Mục lục8

Trong cuộc tấn công nhắm vào thiết bị VPN "Ivanti Connect Secure", ba lỗ hổng đã được dùng kết hợp với nhau. Ngày 29/10, bản vá mới được phát hành, và ngày 30/10, cơ quan an ninh mạng Hoa Kỳ (CISA) đưa 2 lỗ hổng vào danh sách "lỗ hổng đã bị khai thác trong thực tế".

Điều quan trọng là công ty đã cập nhật vào giữa tháng 10 vẫn cần cập nhật thêm lần nữa. Hơn nữa, cuộc tấn công lần này khó để lại dấu vết, nên chỉ cập nhật thôi thì chưa thể nói là "chưa bị xâm nhập". Bài viết giải thích theo từng bước, để cả công ty không biết ai đang quản lý VPN nội bộ cũng làm theo được.

Tóm tắt nhanh

25.1.1.3 hoặc 22.8R2.6 là bản đã vá cả ba lỗ hổng.
Bản cài trong tháng 10 25.1.1.2 / 22.8R2.5 là chưa đủ. Hãy cập nhật thêm lần nữa.
Công cụ kiểm tra của Ivanti (ICT) không phát hiện được cuộc tấn công lần này. Kết quả "không có vấn đề" cũng chưa thể yên tâm.
Một số dữ liệu sẽ mất khi cập nhật hoặc khởi động lại, nên nếu có thể, hãy lưu log và bộ nhớ trước.

Lỗ hổng được dùng kết hợp

root

Quyền cao nhất bị chiếm mà không cần đăng nhập

3/10

Tấn công bắt đầu, theo xác nhận của Volexity

Giải thích thuật ngữ

VPN = cơ chế kết nối an toàn từ bên ngoài vào mạng nội bộ công ty. Được dùng cho làm việc từ xa và kết nối giữa các văn phòng.

Ivanti Connect Secure = thiết bị VPN dành cho doanh nghiệp. Trước đây có tên là "Pulse Connect Secure".

root = quyền cao nhất trong thiết bị, có thể làm mọi thao tác.

Active Directory (AD) = cơ chế quản lý tập trung tài khoản và máy tính trong công ty.

Cuộc tấn công này là gì, nguy hiểm ra sao?

Theo Volexity, đơn vị điều tra vụ việc, kẻ tấn công đã lần lượt dùng ba điểm yếu. Từng điểm yếu riêng lẻ thì cần điều kiện, nhưng khi nối lại, kẻ tấn công không cần đăng nhập vẫn chiếm được quyền cao nhất của thiết bị VPN. Thiệt hại đã được xác nhận cả trên thiết bị chạy bản mới nhất vào thời điểm đó.

Mã CVE	Điểm yếu
CVE-2026-104935	Vượt qua bước kiểm tra đăng nhập và chạy chương trình
CVE-2026-118527	Dùng con số có thể đoán trước để đặt file vào vị trí nhắm tới (Ivanti đánh giá 4.3)
CVE-2026-111357	Nâng lên quyền cao nhất trong thiết bị (Ivanti đánh giá 8.8)

Thiết bị VPN là cửa vào mạng nội bộ công ty. Nếu bị chiếm, thiệt hại không dừng lại trong thiết bị. Trong cuộc tấn công lần này, các hoạt động sau đã được báo cáo.

Đánh cắp mật khẩu

Kẻ tấn công lấy thông tin tài khoản nội bộ lưu trong thiết bị, và còn thu thập từ dữ liệu truyền qua.

Thăm dò mạng nội bộ

Kẻ tấn công tìm trong Active Directory mật khẩu quản trị máy tính và khóa khôi phục mã hóa ổ đĩa.

Xóa dấu vết

Kẻ tấn công không cài mã độc, chỉ hoạt động trong bộ nhớ và xóa phần log liên quan.

Công cụ kiểm tra báo "không có vấn đề" cũng chưa thể yên tâm

Công cụ kiểm tra của Ivanti (Integrity Checker Tool, ICT) dùng để xem file trong thiết bị có bị thay đổi hay không. Theo Volexity, cuộc tấn công lần này không để lại file, nên ICT không phát hiện được. Muốn biết có bị xâm nhập hay không, cần điều tra lưu lượng mạng và bộ nhớ.

Về quy mô thiệt hại

Ivanti cho biết "một số lượng khách hàng hạn chế" bị ảnh hưởng, và số tổ chức bị hại mà Volexity xác nhận là 1. Danh tính kẻ tấn công (được gọi là UTA0576) chưa được biết. Trong phạm vi chúng tôi xác nhận được, tại thời điểm viết bài, chưa thấy công bố nào về thiệt hại tại Nhật Bản.

Phiên bản bị ảnh hưởng và bản cần lên

Phiên bản hiện tại	Tình trạng	Bản cần lên
25.1.1.1 trở về trước	Bị cả 3 lỗ hổng	25.1.1.3 trở lên
25.1.1.2	Còn 2 lỗ hổng	25.1.1.3 trở lên
25.1.2.2 trở về trước	Bị ảnh hưởng	Xem bản mới nhất trong hướng dẫn chính thức của Ivanti
22.8R2.4 trở về trước	Bị cả 3 lỗ hổng	25.1.1.3 trở lên (nếu khó thì 22.8R2.6)
22.8R2.5	Còn 2 lỗ hổng	25.1.1.3 trở lên (nếu khó thì 22.8R2.6)

※ Ivanti khuyến nghị chuyển từ nhánh 22.8 lên 25.1.1.3 trở lên, và hướng dẫn dùng 22.8R2.6 khi chưa thể chuyển ngay. Theo báo chí, chưa có biện pháp tạm thời nào được đưa ra; cập nhật là cách khắc phục.

※ Cách ghi về nhánh 25.1.2 và 25.1.3 khác nhau tùy bài báo. Hãy luôn kiểm tra trong thông báo bảo mật chính thức của Ivanti.

Diễn biến

3/10/2026
Tấn công bắt đầu, theo xác nhận của Volexity. Một công ty điều tra khác báo cáo có hoạt động từ ngày 1/10
13/10/2026
Ivanti công bố CVE-2026-104935 và phát hành bản vá. Cùng ngày, CISA đưa vào danh sách lỗ hổng đã bị khai thác
29/10/2026
Ivanti phát hành 25.1.1.3 / 22.8R2.6, vá 2 lỗ hổng còn lại
30/10/2026
CISA đưa 2 lỗ hổng vào danh sách lỗ hổng đã bị khai thác

6 bước kiểm tra và xử lý

Xác định loại thiết bị VPN
Hỏi người phụ trách IT nội bộ hoặc đơn vị bảo trì mạng. Tài liệu mua thiết bị, hợp đồng bảo trì và tên ứng dụng kết nối mà nhân viên đang dùng (Ivanti Secure Access, Pulse Secure…) cũng là manh mối.
Xem phiên bản
Xem phiên bản trên màn hình quản trị của thiết bị và đối chiếu với bảng trên.
Trước khi cập nhật, lưu lại dữ liệu
Công ty bảo mật Rapid7 khuyến nghị, nếu có thể, hãy lưu bộ nhớ và log trước khi khởi động lại hoặc đặt lại thiết bị. Mục đích là để không mất dữ liệu phục vụ điều tra.
Cập nhật lên bản vá mới nhất
Đừng chờ tới ngày cập nhật định kỳ, hãy làm như một việc khẩn cấp.
Tìm dấu vết xâm nhập
Volexity khuyến nghị kiểm tra các truy cập số lượng lớn tới /dana-na/auth/url_default/welcome.cgi và các dấu vết bên trong /tmp/. Điều tra lưu lượng mạng và bộ nhớ cần kiến thức chuyên môn.
Có dấu hiệu khả nghi thì thay khóa và mật khẩu
Xử lý theo quy trình khôi phục của Ivanti, và thay mật khẩu VPN, Active Directory, mật khẩu quản trị máy tính (LAPS), khóa khôi phục BitLocker…

Những điều nên hỏi đơn vị bảo trì

Nếu công ty đang thuê ngoài quản lý thiết bị VPN, hãy xác nhận những điều sau:

Thiết bị VPN của chúng tôi là loại gì? Phiên bản hiện tại là bao nhiêu?
Đã lên bản vá từ ngày 29/10 trở đi (25.1.1.3 / 22.8R2.6) chưa?
Anh chị đã lưu log và bộ nhớ trước khi cập nhật chưa?
Ngoài công cụ kiểm tra (ICT), anh chị đã kiểm tra cả lưu lượng mạng và log chưa?
Màn hình quản trị thiết bị VPN đã được cấu hình để không mở được từ Internet chưa?

Tại Nhật Bản, các vụ tấn công nhắm vào những cửa vào khác ngoài VPN cũng đang tiếp diễn. Hãy xem thêm bài "Tổng hợp các vụ tấn công mạng tại Nhật Bản tháng 10–11/2026". Nếu không liên lạc được với đơn vị bảo trì, hãy xem thêm bài "Tiếp nhận bảo trì hệ thống cũ không có tài liệu".

Để nguyên hay xử lý ngay?

Nếu để nguyên

Điểm yếu ở cửa vào mạng nội bộ vẫn còn đó
Tài khoản nội bộ có thể bị đánh cắp, thiệt hại có thể lan ra toàn công ty
Dấu vết khó tìm nên có thể phát hiện muộn

Nếu cập nhật và kiểm tra dấu vết

Vá được cả ba điểm yếu đã bị dùng kết hợp
Có thể xử lý sớm nếu đã có xâm nhập
Có thể trả lời đối tác rằng "đã xử lý xong"

Digi Dinos có thể giúp gì?

Digi Dinos là công ty phần mềm có văn phòng tại Việt Nam và Nhật Bản. Trong 8 năm, chúng tôi đã thực hiện hơn 150 dự án, với đội ngũ làm việc được bằng tiếng Nhật.

Khảo sát hiện trạng hệ thống nội bộ: làm rõ công ty đang dùng thiết bị, hệ thống nào và ai đang bảo trì.
Tiếp nhận bảo trì hệ thống có sẵn: PHP, Java, Node.js, Python, .NET…
Xử lý lỗ hổng mới công bố: khi có bản vá như lần này, chúng tôi đánh giá ảnh hưởng và áp dụng bản sửa.
Không có tài liệu cũng không sao: kể cả khi nhà cung cấp cũ đã không còn và không ai hiểu hệ thống, chúng tôi tự đọc mã nguồn, dựng lại tài liệu và đề xuất kế hoạch hoàn chỉnh.
Bảo hành vĩnh viễn: nếu phát hiện lỗi ở phần chúng tôi đã sửa, chúng tôi chịu trách nhiệm sửa, không giới hạn thời gian chừng nào hợp đồng bảo trì còn tiếp tục.

Chưa chắc VPN của bạn đã an toàn? Tư vấn miễn phí.

Chúng tôi hướng dẫn nên bắt đầu kiểm tra từ đâu. Kể cả khi không liên lạc được với đơn vị bảo trì.

Dịch vụ tiếp nhận hệ thống Liên hệ với chúng tôi

Câu hỏi thường gặp

Tôi đã cập nhật trong tháng 10. Như vậy đã xong chưa?

Nếu vẫn ở bản vá ngày 13/10 (25.1.1.2 / 22.8R2.5) thì chưa xong. 2 lỗ hổng còn lại chưa được vá, nên hãy cập nhật lên 25.1.1.3 trở lên hoặc 22.8R2.6.

Công cụ kiểm tra (ICT) không báo vấn đề gì. Như vậy đã an toàn chưa?

Chưa thể khẳng định an toàn. Theo các báo cáo, cuộc tấn công lần này không để lại thay đổi trên file, nên ICT không phát hiện được. Hãy kiểm tra cả log và lưu lượng mạng.

Công ty tôi không phải doanh nghiệp lớn. Có bị nhắm tới không?

Thiết bị kết nối được từ Internet sẽ bị dò tìm tự động, bất kể quy mô công ty. Các báo cáo lần này là về tấn công vào một số tổ chức hạn chế, nhưng khi phương thức tấn công lan rộng, số mục tiêu có thể tăng lên.

Có nên chuyển sang cách không dùng VPN không?

Không cần quyết định ngay. Trước hết hãy hoàn tất cập nhật và kiểm tra lần này. Sau đó, chỉ cần xem xét trong trung và dài hạn, dựa trên việc có tiếp tục bảo trì được thiết bị không và số người dùng là bao nhiêu.

Nguồn tham khảo