Zero-Day Ivanti Connect Secure dan EPMM 2026

Zero-day Ivanti kembali muncul pada 2026: Ivanti Connect Secure (CVE-2026-104935) dieksploitasi sebelum diumumkan pada Oktober, saat perbaikan untuk sebagian versi belum tersedia, setelah Ivanti EPMM menjadi sasaran zero-day pada Januari dan Mei. Per 29 Oktober 2026, organisasi yang menjalankan produk ini perlu menambal, memeriksa kompromi, dan memperlakukan perangkat tepi sebagai target utama.

Ringkasan zero-day Ivanti Connect Secure dan EPMM

• Ivanti Connect Secure, CVE-2026-104935: authentication bypass lewat spoofing (CWE-290) yang memungkinkan penyerang jarak jauh tanpa login menjalankan perintah. Skor CVSS 3.1 8.6 dari Ivanti sebagai CNA. Terdampak: 25.1.1.1 ke bawah, 25.1.2.2 ke bawah, dan 22.8R2.4 ke bawah (lini 22.7, termasuk 22.7R2.14, tidak terdampak). Advisori 13 Oktober 2026; masuk KEV pada hari yang sama. Perbaikan: 25.1.1.2, 25.1.3.0, 25.1.3.1, dan 22.8R2.5.
• Ivanti EPMM, CVE-2026-1281 dan CVE-2026-1340: injeksi kode tanpa autentikasi, CVSS 3.1 9.8 dari Ivanti, dieksploitasi sebagai zero-day pada Januari 2026. Keduanya kini tercantum di KEV (29 Januari dan 8 April 2026).
• Ivanti EPMM, CVE-2026-6973: eksekusi kode karena validasi input yang buruk, membutuhkan hak admin, CVSS 3.1 7.2 dari Ivanti; terdampak EPMM 12.8.0.0 ke bawah; dieksploitasi sebagai zero-day dan masuk KEV pada 7 Mei 2026. Perbaikan: 12.6.1.1, 12.7.0.1, 12.8.0.1.

Pelajari cara menafsirkan skor di Level Kerentanan dan Skor CVSS.

Apa yang terjadi pada Connect Secure

Ivanti menyatakan sebagian celah ditemukan lewat program keamanan produknya dan sudah ditambal pada rilis 25.1.3.0 bulan Juli 2026. Namun eksploitasi terjadi saat tim masih mem-backport perbaikan ke versi lain yang didukung. Volexity mendeteksi aktivitas pelaku sejak awal Oktober 2026. Menurut Rapid7, pelaku memakai pula celah eskalasi hak akses yang belum ditambal saat pengungkapan, dan Ivanti berencana memperbaikinya kemudian.

Ivanti menyatakan belum punya indikator kompromi yang andal, tetapi Volexity mempublikasikan beberapa indikator. Rapid7 menyarankan pemeriksaan kompromi walaupun patch sudah dipasang. Bila Anda menduga ada eksploitasi, ikuti langkah pemulihan resmi Ivanti untuk versi 22.8 dan 25.x.

Apa yang terjadi pada EPMM

Dua celah Januari berada pada fitur In-House Application Distribution dan Android File Transfer. Unit 42 menyebut skrip bash lama yang dipakai Apache untuk penulisan ulang URL memproses masukan penyerang secara tidak aman. Menurut Unit 42, percobaan eksploitasi sebagian besar otomatis, dengan reverse shell, web shell JSP, dan unduhan agen pemantauan Nezha; telemetri Cortex Xpanse melihat lebih dari 4.400 instance EPMM. Ivanti merilis patch RPM sementara yang harus dipasang ulang setelah upgrade versi, dan perbaikan permanen hadir di 12.8.0.0. Awalnya CISA hanya memasukkan CVE-2026-1281 ke KEV pada 29 Januari, sedangkan CVE-2026-1340 baru menyusul pada 8 April 2026.

Untuk CVE-2026-6973, Security Boulevard melaporkan Ivanti menyarankan peninjauan akun berhak admin dan rotasi kredensialnya, dan belum ada indikator kompromi yang andal. Peneliti menilai celah ini mungkin dirangkai dengan celah Januari, tetapi atribusi belum dikonfirmasi.

Mengapa perangkat VPN dan MDM terus menjadi sasaran

• Menghadap internet dan harus tersedia bagi pengguna, sehingga tidak bisa disembunyikan di balik segmen internal.
• Hak istimewa tinggi: memegang kredensial, sesi, dan akses ke jaringan internal atau seluruh armada perangkat seluler.
• Visibilitas terbatas: biasanya tanpa EDR, dengan log lokal yang bisa diubah penyerang.
• Siklus patch sulit: backport ke banyak versi memberi jendela eksploitasi, seperti pada Connect Secure.

Pola ini dibahas lebih luas di Keamanan Perangkat Edge. Ringkasan zero-day VPN lain tersedia di Zero-Day VPN 2026.

Langkah praktis bagi tim IT

1. Inventarisasi. Daftar semua instance Connect Secure dan EPMM, termasuk yang dikelola vendor atau cabang.
2. Patch darurat di luar siklus normal ke versi perbaikan di atas. Untuk EPMM, ingat bahwa patch RPM Januari tidak bertahan setelah upgrade.
3. Cari kompromi setelah patch. Untuk EPMM: periksa log akses Apache, termasuk salinan log yang tersimpan di luar perangkat karena log lokal bisa diubah penyerang, lalu cari web shell, akun admin baru, serta aplikasi dan kebijakan yang didorong ke perangkat. Ivanti menyarankan tidak membersihkan sistem yang terkompromi, melainkan memulihkan dari backup bersih atau membangun ulang.
4. Setelah pemulihan, reset kata sandi akun lokal, akun layanan LDAP/KDC, dan akun layanan lain, serta ganti sertifikat publik EPMM.
5. Batasi akses antarmuka admin dari internet, kirim log ke SIEM di luar perangkat, dan pantau koneksi keluar yang tidak lazim.
6. Anggap rentan sampai terbukti bersih untuk perangkat yang menghadap internet sebelum patch tersedia. Gunakan prioritas dari CISA KEV.

Linimasa singkat zero-day Ivanti 2026

• 29 Januari 2026: CVE-2026-1281 dan CVE-2026-1340 pada EPMM diumumkan dan dieksploitasi sebagai zero-day; CISA memasukkan CVE-2026-1281 ke KEV pada hari yang sama, sedangkan CVE-2026-1340 menyusul pada 8 April 2026.
• Februari 2026: Unit 42 menerbitkan analisis dan indikator untuk aktivitas EPMM, yang diperbarui hingga akhir Februari.
• 7 Mei 2026: Ivanti memperingatkan CVE-2026-6973 yang sudah dieksploitasi sebagai zero-day terhadap sejumlah kecil pelanggan; CISA memasukkannya ke KEV pada hari yang sama.
• Juli 2026: perbaikan awal untuk Connect Secure hadir di rilis 25.1.3.0.
• Awal Oktober 2026: Volexity mendeteksi aktivitas pelaku terhadap Connect Secure.
• 13 Oktober 2026: Ivanti menerbitkan advisori CVE-2026-104935 dan CISA menambahkannya ke KEV pada hari yang sama.

Catatan konteks: pada kasus Connect Secure, jeda antara perbaikan awal bulan Juli dan versi yang di-backport menjadi pelajaran bagi vendor dan pelanggan. Organisasi yang menunda upgrade ke lini terbaru sering kali harus menunggu backport, dan selama itu perangkatnya tetap terekspos. Rencanakan siklus upgrade ke lini yang masih mendapat perbaikan lebih dulu, dan pantau advisori vendor secara berkala.

Baca juga: Zero-Day Google Chrome 2026 dan Cara Memastikan Browser Selalu Aman.

Pertanyaan yang Sering Diajukan

Apakah patch Ivanti membuat perangkat otomatis bersih?

Tidak. Patch menutup celah, tetapi tidak menghapus web shell atau akses yang sudah ditanam. Pemeriksaan kompromi tetap diperlukan, apalagi pada zero-day yang dieksploitasi sebelum patch.

Apakah Ivanti Connect Secure 22.7.x terdampak CVE-2026-104935?

Menurut Ivanti, versi 22.7.x ke bawah tidak terdampak. Versi yang terdampak adalah 25.1.1.1, 25.1.2.2, dan 22.8R2.4 beserta versi sebelumnya pada lini masing-masing.

Mengapa EPMM tidak sama dengan Connect Secure?

EPMM adalah platform manajemen perangkat seluler, sedangkan Connect Secure adalah gateway VPN. Keduanya sama-sama menghadap internet dan berhak istimewa, sehingga sama-sama menarik bagi penyerang.

Kesimpulan

Zero-day Ivanti 2026 menegaskan bahwa perangkat tepi harus dipantau, ditambal cepat, dan diasumsikan dapat dikompromikan. Siapkan inventaris, patch, dan rencana pemulihan sebelum insiden berikutnya datang. Tim Linuxhackingid siap membantu menilai eksposur perimeter organisasi Anda lewat layanan asesmen keamanan. Rujukan: analisis Rapid7 dan laporan Unit 42 tentang EPMM.