Pular para o conteúdo
Indene
pt

Alertas de segurança

Falha no Ivanti Connect Secure é explorada e parte da cadeia de ataque segue sem correção

A Ivanti confirmou a exploração da CVE-2026-104935 na VPN Connect Secure, com ataques desde o início de outubro e roubo de credenciais do Active Directory. A atualização fecha duas das três falhas da cadeia: é preciso corrigir e procurar sinais de invasão.

Por Rafael LimaCFO

3 min de leitura

Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título The patch closes the door, not the case.
Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título The patch closes the door, not the case.

A Ivanti confirmou em 13 de outubro de 2026 que uma falha no Connect Secure, a VPN corporativa da empresa, foi explorada contra clientes antes de existir correção. A CISA incluiu a CVE-2026-104935 no catálogo de falhas exploradas (KEV) no mesmo dia. A atualização fecha duas das três falhas usadas no ataque; a terceira, que dá privilégio total no equipamento, ainda não tem correção.

O que se sabe

item detalhe
Identificador CVE-2026-104935
Produto e versões afetadas Ivanti Connect Secure 22.8R2.4 e anteriores, 25.1.1.1 e anteriores, 25.1.2.2 e anteriores; as versões 22.7 e anteriores não são afetadas
Gravidade CVSS v3.1 8,6 (Ivanti, no NVD)
No catálogo KEV da CISA sim, desde 13 de outubro de 2026 · prazo federal americano em 16 de outubro
Correção 22.8R2.5, 25.1.1.2, 25.1.3.0 e 25.1.3.1, conforme o aviso do fabricante
O que falta corrigir a falha de escalada de privilégio usada na mesma cadeia; segundo a Volexity, a Ivanti prepara a correção para as próximas semanas

A falha permite contornar a autenticação e executar comandos no equipamento sem login. Segundo a Volexity, que investigou o caso, o atacante encadeou essa falha com outras duas para obter acesso de administrador total (root) em equipamentos com todas as atualizações aplicadas, desde pelo menos 3 de outubro. A Defused, outra empresa de inteligência de ameaças, viu os primeiros sinais em 1º de outubro. A Ivanti fala em exploração "limitada". A Shadowserver contava mais de 5.500 equipamentos Connect Secure expostos na internet, segundo o BleepingComputer.

Por que importa para instituições financeiras

O alvo não era a VPN em si. Pelo relato da Volexity, depois de entrar o atacante roubou credenciais de domínio que passavam pelo equipamento, procurou no Active Directory as senhas locais de administrador e as chaves de recuperação de disco, e tirou dados da rede. Também não instalou programa nenhum: voltou a explorar a falha a cada comando e apagou registros. Por isso a própria Volexity alerta que a ferramenta de verificação de integridade da Ivanti pode não detectar o comprometimento.

É o cenário de exploração de ativo exposto à internet levando direto ao comprometimento de conta corporativa. E é a terceira leva de falhas exploradas em equipamento de borda em menos de um mês, depois de F5, Check Point, WSO2 e Arista em setembro e de Citrix e Cisco no início de outubro. O Connect Secure tem histórico: a CISA já marcou 36 vulnerabilidades da Ivanti como exploradas desde novembro de 2021, 12 delas por grupos de ransomware, segundo o BleepingComputer.

Para quem tem o equipamento, atualizar é obrigatório e não basta. Com uma das falhas ainda aberta e o atacante apagando rastros, a pergunta certa não é "já corrigimos?", e sim "temos como provar que ninguém entrou entre 1º de outubro e hoje?".

O que fazer agora

  1. Verifique se a instituição, ou um fornecedor que opera o acesso remoto em nome dela, usa Ivanti Connect Secure numa versão afetada e se o equipamento está acessível pela internet.
  2. Aplique a versão corrigida indicada no aviso da Ivanti (22.8R2.5, 25.1.1.2, 25.1.3.0 ou 25.1.3.1) e acompanhe a correção da escalada de privilégio, que ainda não saiu.
  3. Procure sinais de acesso indevido desde 1º de outubro com os indicadores publicados pela Volexity, como volume anormal de requisições à página de autenticação e arquivos estranhos no diretório temporário, sem depender só da ferramenta de integridade da Ivanti.
  4. Se houver sinal de comprometimento, troque as credenciais de domínio que passaram pela VPN, as senhas locais de administrador e as chaves de recuperação de disco guardadas no Active Directory, e preserve registros e imagens para a investigação.
  5. Registre a correção e a verificação com data e responsável: é a evidência que a auditoria vai pedir.

Referências

Assuntos

Continue lendo

Todas as notícias