Kalau kantor Anda punya perangkat VPN untuk akses jarak jauh (WFH ASN, tim IT, atau vendor), ini kabar yang perlu dibaca hari ini. Pada 13 Oktober 2026, firma keamanan Volexity mengungkap adanya eksploitasi nyata (in-the-wild) terhadap Ivanti Connect Secure (ICS) — perangkat VPN yang banyak dipakai instansi pemerintah dan perusahaan. Penyerang merantai tiga celah zero-day sekaligus untuk menjalankan perintah sebagai root tanpa perlu login sama sekali.

Yang membuat kasus ini serius: perangkat korban saat itu sudah terbaru dan ter-patch penuh (versi 22.8R2.4, Build 19097). Dari tiga celah yang dirantai, baru dua yang sudah diperbaiki Ivanti pada 13 Oktober 2026; satu celah eskalasi hak akses masih menunggu rilis perbaikan berikutnya.

Kronologi singkat

• 1–3 Oktober 2026 — Aktor ancaman yang dilacak sebagai UTA0576 mulai mengeksploitasi perangkat ICS milik sebuah organisasi.
• 5 Oktober 2026 — Volexity memulai investigasi setelah mendeteksi aktivitas mencurigakan, dan menelusuri akarnya ke perangkat VPN ICS.
• 13 Oktober 2026 — Ivanti merilis patch untuk celah otentikasi bypass dan RCE (CVE-2026-104935). Perbaikan celah privilege escalation dijadwalkan pada rilis berikutnya.

Bagaimana tiga celah itu dirantai

1. Authentication bypass di welcome.cgi. Penyerang mengirim permintaan ke halaman login publik (/dana-na/auth/url_default/welcome.cgi), tetapi menyisipkan header X-DSCGI-PATH berisi path skrip lain. URL dipakai untuk menilai izin akses, sedangkan header menentukan tujuan permintaan — sehingga penyerang bisa menembus skrip internal yang seharusnya butuh login.
2. Remote code execution lewat wu.cgi. Ada celah file write: skrip yang diunggah ditulis ke disk lebih dulu, baru kemudian divalidasi sebagai arsip ZIP. Penyerang memanfaatkan jeda singkat (race condition) itu untuk mengeksekusi skrip Perl berisi kode mereka sebelum file dihapus.
3. Privilege escalation ke root. Dari akses sebagai pengguna cgi-server, penyerang menambal salinan pustaka libdsplibs.so di memori agar layanan istimewa dsinvoked menjalankan skrip jahat mereka selaku root.

Apa yang diincar penyerang

Setelah masuk, UTA0576 langsung bergerak ke arah kredensial: membaca kredensial LDAP yang tersimpan di perangkat VPN, mengambil metadata Active Directory, lalu menjalankan alat buatan sendiri untuk mencari password administrator lokal (LAPS) dan kunci pemulihan BitLocker. Mereka juga menyadap file packet capture pada port 389 (LDAP) untuk memanen kredensial, lalu melakukan password spraying ke akun Active Directory. Aksi pamungkas: menghapus jejak dari log debug Ivanti dan /var/log/audit/audit.log.

Kenapa alat bawaan Ivanti tidak mendeteksi

Ivanti menyediakan Integrity Checker Tool untuk mendeteksi perubahan file. Namun pada kasus ini penyerang hanya menambal kode di memori dan mengembalikan konfigurasi ke kondisi semula, sehingga tidak ada perubahan file di disk yang bisa terdeteksi. Artinya, organisasi yang ingin memastikan perangkat VPN-nya bersih perlu melakukan forensik jaringan dan memori, bukan sekadar menjalankan pemeriksaan file harian.

Langkah pengamanan yang perlu dilakukan sekarang

1. Patch segera. Terapkan pembaruan Ivanti untuk CVE-2026-104935, dan pastikan perangkat naik ke versi terbaru. Volexity menyebut perangkat dengan versi 25.1.1 dan sebelumnya, 25.1.2, serta 22.8R2.4 wajib di-upgrade.
2. Pantau pola serangan. Waspadai lonjakan permintaan ke /dana-na/auth/url_default/welcome.cgi yang disertai header mencurigakan seperti X-DSCGI-PATH: /home/webserver/htdocs/dana/fb/smb/wu.cgi atau X-DSCGI-PATH: /home/runtime/tmp/<MD5(namafile)>. Ketidakcocokan antara URL dan nilai X-DSCGI-PATH adalah indikator kuat.
3. Periksa direktori /tmp/. Cari sisa skrip atau file hasil eksploitasi yang tertinggal.
4. Audit dan rotasi kredensial. Ganti kata sandi akun layanan Active Directory yang dipakai perangkat VPN, lalu periksa ulang siapa saja yang bisa membaca password LAPS dan kunci pemulihan BitLocker.
5. Perketat akses. Aktifkan MFA untuk semua akses VPN, batasi akses konsol admin hanya dari jaringan internal, dan pisahkan akun layanan VPN dari akun domain berhak istimewa.
6. Simpan bukti bila curiga kompromi. Jangan langsung reset atau hapus log. Ambil image memori dan disk lebih dulu, lalu lakukan forensik — karena jejaknya justru ada di memori.
7. Catat celah yang belum ditambal. Celah eskalasi hak akses belum diperbaiki; pantau rilis Ivanti berikutnya dan jadwalkan patch ulang.

Untuk konteks Indonesia: perangkat edge seperti VPN, firewall, dan load balancer sudah berulang kali jadi pintu masuk favorit penyerang sepanjang 2026 — mulai FortiGate (FortiBleed) hingga kasus AnyDesk Linux. Pelajaran yang sama selalu muncul: perangkat tepi jarang diawasi, padahal posisinya paling terbuka ke internet dan menyimpan kredensial paling berharga. Jangan tunggu insiden dulu baru diaudit.

Sumber: Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, Ivanti Security Advisory CVE-2026-104935, Volexity Threat Intel — Indicators of Compromise.