CISA alerta para exploração de falha zero-day no Ivanti Connect Secure
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) recomendou que organizações atualizem seus appliances Ivanti Connect Secure após identificar ataques contra a vulnerabilidade CVE-2026-104935. A falha permite contornar a autenticação remotamente e executar comandos no equipamento, criando condições para roubo de credenciais e extração de dados.
O alerta foi divulgado em 13 de outubro de 2026, quando a vulnerabilidade entrou no catálogo da CISA de falhas conhecidas e exploradas. O risco abrange as versões 25.1.1.1 e anteriores, 25.1.2.2 e anteriores, além da linha 22.8R2.4 e anteriores. Como o procedimento de atualização pode mudar conforme o appliance seja físico, virtual ou hospedado em nuvem, a agência orienta seguir as instruções específicas da Ivanti para cada tipo de implantação.
A investigação da Volexity indica que um agente de ameaça identificado como UTA0576 começou a explorar as falhas em 3 de outubro. Dois dias depois, pesquisadores analisaram uma atividade suspeita e a associaram a um equipamento Connect Secure com a versão 22.8R2.4 – considerada atualizada naquele momento.
O ataque não dependeu de uma única vulnerabilidade. Os invasores combinaram o desvio de autenticação com uma falha de envio de arquivos que possibilitava executar código e uma terceira brecha, usada para elevar privilégios. Em conjunto, esses recursos permitiram obter acesso root, que concede o mais alto nível de controle sobre o appliance. A Ivanti associa o bypass de autenticação e a execução remota de código à CVE-2026-104935.
Depois de comprometer o equipamento, os atacantes buscaram credenciais de domínio armazenadas, consultaram o Active Directory e procuraram senhas de administradores locais e chaves de recuperação do BitLocker. Também foram observadas tentativas de adivinhar senhas em várias contas, mapear a rede e obter credenciais a partir de tráfego capturado.
A detecção pode ser difícil. Segundo a CISA, o Integrity Checker da Ivanti talvez não identifique sinais da invasão, pois os comandos maliciosos são executados na memória. A investigação encontrou alterações temporárias em código de bibliotecas, mudanças de configuração posteriormente revertidas e a remoção de determinados registros de log. Não foi identificado web shell ou backdoor persistente: em vez disso, o invasor repetia a cadeia de exploração e recebia os resultados por respostas HTTPS. Por esse motivo, a análise da memória e do tráfego de rede é importante para avaliar se um equipamento exposto foi comprometido.
A Ivanti publicou, em 13 de outubro, correções para o desvio de autenticação e a falha de execução de código. Na data da publicação da pesquisa, a correção para a vulnerabilidade independente de elevação de privilégios ainda estava em desenvolvimento. A recomendação é instalar sem demora as atualizações já disponíveis, sem esperar pela correção adicional.
Medidas recomendadas para administradores
Antes de iniciar a recuperação, faça uma cópia de segurança da configuração do appliance. Se houver indícios de comprometimento, a CISA recomenda restaurar o equipamento às configurações de fábrica e, em seguida, instalar a versão mais recente aplicável. Aparelhos virtuais e instâncias em nuvem devem ser reconstruídos e atualizados antes que a configuração salva seja restaurada.
A atualização, por si só, não elimina o risco de uso de credenciais que possam ter sido roubadas. As organizações devem trocar senhas de domínio, de contas administrativas e de usuários locais. Também precisam revogar e emitir novamente certificados armazenados no equipamento, além de redefinir chaves de API e credenciais associadas a servidores de licenças.
Como etapa inicial, as equipes de segurança devem identificar todos os appliances Ivanti Connect Secure em operação, incluindo sistemas de contingência, ambientes de teste e instâncias pouco utilizadas. Em seguida, é necessário conferir a versão de cada um e priorizar os dispositivos acessíveis pela internet, pois a exposição externa aumenta a possibilidade de tentativa de exploração.
Também é prudente preservar evidências antes de reinstalar ou reconstruir um equipamento suspeito. Registros disponíveis, imagens de memória e dados de tráfego podem ajudar a entender o alcance da intrusão. Como certos comandos podem desaparecer da memória e os logs podem ter sido alterados, a ausência de alertas ou de arquivos maliciosos conhecidos não deve ser considerada prova de que o appliance está limpo.
Após a recuperação, monitore acessos administrativos, autenticações incomuns, consultas inesperadas ao Active Directory e tentativas repetidas de login. Revise ainda as conexões originadas pelo appliance e os acessos a sistemas que utilizem credenciais armazenadas nele. Se contas ou segredos tiverem sido expostos, a troca deve incluir os serviços relacionados, não apenas o próprio equipamento.
Por fim, restrinja o acesso de administração aos endereços e redes estritamente necessários e mantenha um inventário atualizado de appliances, versões e responsáveis. Essas medidas não substituem a instalação das correções, mas reduzem a superfície de ataque e ajudam a identificar atividades suspeitas caso um dispositivo ainda vulnerável ou previamente comprometido permaneça conectado.