CISA adverte exploração ativa de Ivanti Connect Secure por CVE-2026-104935

Ivanti Connect Secure (ICS), a plataforma VPN/SSL amplamente usada para acesso remoto, está sendo ativamente explorada na natureza por uma vulnerabilidade omissão de autenticação que permite a execução remota de comandos. A falha, identificada como CVE-2026-104935 e com uma pontuação CVSS de 8.6, foi apontada pela Agência de Segurança de Infra-estruturas e Cibersegurança de EE. Exploited Vulnerabilities (KEV) – o que obriga as agências federais norte-americanas a corrigi-lo antes de 16 de outubro de 2026 – e levou os operadores a atualizar seus dispositivos Ivanti para a versão mais recente. As versões afetadas pela falha são 25.1.1.1 e anteriores, 25.1.2.2 e anteriores, e 22.8R2.4 e anteriores; Ivanti adverte ainda que o ramo 22.8 chegará ao final de sua vida útil em 31 de janeiro de 2027.

De forma confirmada por fontes públicas, várias equipes de resposta observaram tentativas de exploração. Volexity relatou atividade exploratória desde pelo menos 3 de outubro de 2026, atribuindo campanhas operadas por um ator que denominou UTA0576 e que, segundo sua análise, combina o bypass de autenticação com uma vulnerabilidade adicional de escalada de privilégios para conseguir execução como root sem credenciais. Independentemente da motivação do ator, Volexity documenta post-explotação consistente com roubo de credenciais, extração de metadados do Active Directory, implantação de ferramentas para ataques Kerberoast e busca de chaves do BitLocker. Em paralelo, a assinatura Previdian registrou 105 tentativas de exploração direcionadas a seus honeypots até 14 de outubro de 2026, originados desde dezenas de IPs distintas, o que indica campanhas coordenadas e teste ativo de capacidade de execução remota.

O que ocorre tecnicamente(confirmado e explicado): a vulnerabilidade permite a um atacante remoto saltar o processo de autenticação e alcançar manejadores internos (CGI) do appliance. Pesquisadores observaram o abuso do cabeçalho HTTP X-DSCGI-PATH para direcionar petições para um handler interno que aceita arquivos; os atacantes suben pacotes que aparentam ser ZIP mas contêm scripts Perl. Se a execução remota funcionar, estes programas devolvem favoritos únicos que confirmam o sucesso do exploit. Em alguns incidentes documentados, a essa execução inicial uniram-se vetores de escalada para obter privilégios de sistema e realizar ações de pós-explotação concebidas para maximizar acesso e persistência.

Quem afecta(confirmado): qualquer organização que use o Ivanti Connect Secure nas versões citadas e que tenha o dispositivo acessível de redes não confiáveis está em risco. Isso inclui appliances físicos, instâncias virtuais e implantaçãos na nuvem. O risco é especialmente crítico para infra-estruturas que expõem o acesso remoto de administração ou acesso VPN à Internet pública sem controles adicionais de acesso.

Consequências reais e observadas(confirmadas e estimadas): após a exploração, adversários conseguiram roubar credenciais armazenadas no appliance, capturar tráfego LDAP/AD e implantar ferramentas de pós-explotação que permitem busca de senhas administrativas e recuperação de chaves de disco. Volexity também descreve tentativas deliberadas de remover ou modificar registros e deixar o sistema em um estado que dificulte a detecção. A nível operacional, isto pode traduzir-se em acesso a contas corporativas, movimento lateral dentro de redes internas, compromisso de infra-estruturas críticas de autenticação e exfiltração de dados sensíveis. As campanhas observadas até agora têm se centrado em testes de execução, mas os relatórios indicam que a próxima fase provavelmente consista em cargas úteis mais prejudiciais e direcionadas.

O que está confirmado: existência de CVE-2026-104935; exploração ativa documentada desde 3 de outubro de 2026; inclusão no catálogo KEV de CISA com data limite de remediação para agências federais; observações de testes de exploração por Previdian e atividade pós-explotação documentada por Volexity. O que é estimativa ou ainda incerto: a amplitude total do compromisso em instalações reais (quantos appliances foram completamente comprometidos fora dos honeypots), a identidade final ou atribuição operacional de todos os atacantes e se houver campanhas massivas de exfiltração já em curso para além dos casos publicados.

Acções concretas e priorizadas a adoptar pelos responsáveis técnicos hoje: em primeiro lugar, aplicar adesivos. Se a sua implantação puder ser atualizada, faça-o imediatamente seguindo o guia de compatibilidade e migração de Ivanti ( https://www.ivanti.com/support/security-advisories). CISA fornece informações adicionais no seu catálogo KEV ( https://www.cisa.gov/known-exploited-vulnerabilities-catalog), onde são apresentados prazos e requisitos para o sector público.

Se você não puder corrigir imediatamente ou precisar de tempo para uma intervenção controlada, aplique a atenuação compensatória: restringa o acesso ao appliance a endereços IP conhecidos por listas de controle de acesso ou firewalls de perímetro, mova a administração fora da Internet pública e limite portos através de VPNs de gestão separadas, implemente autenticação multifator para acessos de administração, e implantação de regras de IDS/IPS e WAF que detectem e bloqueem pedidos com cabeçalhos anormais (por exemplo, X-DSCGI-PATH) ou tentativas de aumentar arquivos não esperados. Monitorize com prioridade os logs de acesso, registros web e qualquer upload de arquivos que não corresponda ao uso legítimo.

Se suspeitar de compromisso, CISA e equipamentos que pesquisaram recomendam passos forenses e de remediação específicos: criar uma cópia da configuração actual do dispositivo, realizar um reset de fábrica e atualizar para a versão alterada, ou em ambientes virtuais reconstruir a instância; restaurar a configuração desde a cópia apenas após confirmar que não contém objetos maliciosos; resetear todas as senhas (locales, administrativas, de domínio) e revogar/reemitir certificados e chaves API; e realizar análises de memória e rede para identificar sinais de execução ilícita. Volexity tem documentado técnicas de limpeza de artefatos por parte de atacantes, pelo que a contenção deve assumir-se desde a perspectiva de que o adversário tenta se esconder.

Detecções práticas que os equipamentos de segurança podem implementar: procurar nos logs entradas com o cabeçalho X-DSCGI-PATH, examinar cargas subidas com extensões ZIP, mas contenham scripts Perl ou outros intérpretes, detectar processos Perl ou Python inesperados em appliances, revisar conexões salientes para hosts desconhecidos desde o appliance, e analisar tráfego LDAP e Kerberos em busca de anomalias e extração de metadados. Para orientação técnica adicional sobre indicadores e táticas observadas, consulte análises públicas de empresas de resposta a incidentes e relatórios de pesquisa em blogs especializados como o de Volexity ( https://www.volexity.com/blog/).

Em suma, a vulnerabilidade em Ivanti Connect Secure é uma ameaça ativa que já foi aproveitada para validar execução remota e, em casos documentados, para roubar credenciais e realizar ações avançadas de pós-explotação. A prioridade imediata é corrigir ou aplicar mitigações restritivas e realizar análises forenses se o equipamento tiver sido exposto. Operadores de infra-estruturas críticas e administradores de VPN devem considerar essas medidas como urgentes: o tempo de reação agora pode marcar a diferença entre conter um teste de conceito e responder a uma intrusão com persistência e exfiltração de dados.