Ngày 30/10/2026, CISA đưa CVE-2026-111357 vào danh mục Lỗ hổng đang bị khai thác (KEV), hạn khắc phục cho cơ quan liên bang Mỹ là 02/11. Các công cụ theo dõi KEV công khai cho thấy CVE-2026-118527 cũng được thêm cùng ngày. Cả hai thuộc chuỗi khai thác Ivanti Connect Secure mà Volexity công bố ngày 13/10, cùng với CVE-2026-104935 (CISA đưa vào KEV ngày 13/10).
Vì sao vẫn cần lo dù đã vá hồi đầu tháng: Volexity phát hiện nhóm UTA0576 khai thác chuỗi này từ ít nhất 03/10 trên một thiết bị khi đó đã cập nhật đầy đủ (22.8R2.4), chạy mã với quyền root mà không cần đăng nhập. Các bản phát hành ngày 13/10 (22.8R2.5, 25.1.1.2, 25.1.3.0, 25.1.3.1) chỉ sửa phần vượt xác thực và thực thi mã, chưa sửa lỗi leo thang đặc quyền. Lỗi đó — CVE-2026-111357, do tiến trình dsinvoked tin tưởng dữ liệu cấu hình DSCache — theo Volexity chỉ được vá ngày 29/10. Dữ liệu NVD liệt kê 22.8R2 đến 22.8R2.5 và nhánh 25.1 dưới 25.1.1.3 là bị ảnh hưởng.
Điểm số chưa thống nhất: Ivanti chấm CVE-2026-111357 8,8, MITRE chấm 7,0 (tấn công cục bộ, độ phức tạp cao). CVE-2026-118527 được các bài đăng dẫn lời Ivanti mô tả là lỗi cho phép kẻ đã xác thực tải tệp lên, điểm 4,3; chi tiết CVE chính thức chưa được công bố tại thời điểm kiểm tra.
Kẻ tấn công đã làm gì: theo Volexity, UTA0576 lấy thông tin đăng nhập LDAP lưu trên thiết bị, dò Active Directory tìm mật khẩu LAPS và khoá khôi phục BitLocker, thực hiện password spraying và Kerberoasting, xuất dữ liệu ra ngoài và xoá các dòng log liên quan. Ivanti cho biết "một số ít khách hàng" bị ảnh hưởng; Volexity xác nhận một nạn nhân. Volexity cảnh báo công cụ Integrity Checker của Ivanti có thể không phát hiện được xâm nhập.
