Begitu Ivanti Connect Secure nongol, biasanya ada cerita kelanjutannya. Kali ini, dua zero-day baru — CVE-2026-111357 (privilege escalation) dan CVE-2026-118527 (upload file) — dirangkai sama celah CVE-2026-104935 yang baru dipatch bulan lalu. Penyerang disebut sudah merangainya sejak 1 Oktober.
Volexity nemu di lapangan, nge-track aktor baru yang mereka sebut UTA0576. Yang bikin repot: pelaku gak ninggalin malware atau web shell. Mereka exploit ulang perangkat tiap kali ngejalanin perintah, lalu mengacak log. Alibi rapi. CISA nambah dua CVE ini ke katalog KEV. Federal dapat tenggat 2 November buat yang pertama, 13 November buat yang kedua.
Ivanti ngaku nunggu dulu sampai patch CVE-104935 rilis karena mau jelasin jalur ekploitasinya. Masalah: jalur lama masih hidup. Ini bukan cerita pertama. Sejak 2021, CISA sudah nandai 38 kerentasan Ivanti yang dipake aktif, 12 di antaranya terlibat ransomware.
Kabar lain minggu ini. Rantai PHP2Shell diduga dari pemain yang terikat Tiongkok, dapat akses root ke 25 server. Dua bug PHP kritis CVE-2026-109618 dan -109619 masuk KEV 26 Oktober. Terus, kerentasan decoder Brotli (CVE-2026-111497) menjangkai Node.js, .NET, Python, Java, dan runtime cloud. Satu bug, banyak runtime.
Kalau kamu punya Ivanti ICS atau runtime PHP di produksi, ini bukan “patch minggu depan.” Ini patch sekarang, sebelum logmu sudah diacak orang.