Ivanti Connect Secure: três falhas usadas em ataques desde outubro; atualize e procure sinais de invasão

O que aconteceu

O Ivanti Connect Secure é um equipamento de VPNservidor que deixa funcionários se conectarem à rede da empresa de fora; como fica exposto na internet, vira um alvo atraente usado por empresas e órgãos públicos. Em 13 de outubro de 2026, a CISA incluiu a primeira falha, CVE-2026-104935, no catálogo de vulnerabilidades conhecidas e exploradaslista pública da CISA com falhas que têm evidência de uso em ataques reais e pediu que as organizações corrigissem. Em 30 de outubro, ela atualizou o alerta e acrescentou mais duas, CVE-2026-111357 e CVE-2026-118527. A Ivanti publicou o registro CVE da última em 3 de novembro.

A CISA diz que, juntas, as falhas permitem executar comandos arbitrários remotamente e sem autenticação, e que os invasores as usam para roubar credenciais e extrair dados. Para os detalhes técnicos, ela recomenda a pesquisa da Volexity sobre a exploração encadeadao invasor combina várias falhas menores em sequência, e cada uma abre caminho para a próxima desses zero-daysfalhas que os invasores usaram antes de o fabricante ter uma correção.

As três falhas

A primeira é um desvio de autenticação. O registro CVE da Ivanti diz que ela permite a um invasor remoto, sem login, executar comandos arbitrários em versões anteriores à 25.1.3.0. A Ivanti deu nota 8,6 no CVSS 3.1.

A segunda dá ao invasor acesso root, o nível mais alto de controle do equipamento. O registro, escrito pela MITRE, diz que o componente dsinvoked confia indevidamente nos dados de configuração do DSCache e que a falha foi "explorada na prática em outubro de 2026". O vetor é local, o que combina com uma etapa usada depois que o invasor já entrou.

A terceira permite que um invasor já autenticado envie arquivos com conteúdo controlado por ele para um local previsível no disco. A nota CVSS de 4,3 parece branda isoladamente. Numa cadeia de ataque, porém, um jeito confiável de colocar um arquivo onde o invasor espera pode ser a peça que faltava, e a CISA a lista como explorada.

Qual versão instalar

As fontes não batem perfeitamente. O alerta da CISA lista como afetados o Connect Secure 25.1.1.2 e anteriores, 25.1.2.2 e anteriores, e 22.8R2.5 e anteriores. Os registros CVE apontam 25.1.1.3 e 22.8R2.6 como corrigidas para a CVE-2026-118527, e 25.1.3.0, 25.1.3.1 e 22.8R2.5 como não afetadas pela CVE-2026-104935. O registro da CVE-2026-111357 não indica versão corrigida.

Pegue o número da versão no próprio aviso da Ivanti, que está nas fontes abaixo, e instale a versão mais nova do seu ramo. A CISA lembra ainda que o Connect Secure 22.8 chega ao fim da vida útil em 31 de janeiro de 2027, então planeje a migração desse ramo.

O que fazer agora

1. Atualize o equipamento para a versão mais recente indicada no aviso da Ivanti, seguindo o guia de atualização da empresa para equipamentos físicos ou virtuais.
2. Verifique se ele já foi invadido. A CISA avisa que a ferramenta Integrity Checker Tool da Ivanti pode não detectar a exploração da CVE-2026-104935, porque os comandos do invasor rodam na memória. Ela recomenda análise forense de rede e de memória.
3. Se houver suspeita de invasão, faça backup da configuração, restaure o equipamento de fábrica e atualize. Reconstrua instâncias virtuais e em nuvem. Depois restaure a configuração.
4. Troque as senhas de todas as contas que usaram o equipamento, revogue e emita de novo os certificados guardados nele, e troque as chaves de API e as credenciais do servidor de licenças.

O que ainda não se sabe

A CISA não identificou os atacantes nem disse quantas organizações foram atingidas. Não encontramos código público de prova de conceito, e os detalhes da cadeia vêm da pesquisa da Volexity, não da Ivanti. Vamos atualizar este artigo se a Ivanti ou a CISA publicarem mais informações.

As mesmas semanas trouxeram outras falhas exploradas. O nosso resumo da lista da CISA de 26 a 29 de outubro traz uma falha na VPN dos firewalls da Cisco, que também mira o acesso remoto, e a falha explorada na atualização do WordPress mostra outro tipo de janela de ataque.