Ivanti Connect Secure: falhas zero-day são encadeadas para obter acesso root

Invasores encadearam três falhas zero-day no Ivanti Connect Secure para executar comandos como root sem fazer login, revelaram a Ivanti e a empresa de segurança Volexity em 13 de outubro de 2026. O Connect Secure é um appliance de VPN que empresas instalam na borda de suas redes para que funcionários possam se conectar remotamente. A Ivanti corrigiu duas das falhas, rastreadas em conjunto como CVE-2026-104935. A terceira, que eleva o invasor a root, ainda não tem correção.

Como o ataque funcionou

A Volexity encontrou o ataque no appliance de um cliente, que estava com todos os patches aplicados e rodava a versão 22.8R2.4, segundo o The Hacker News. A Volexity rastreia o invasor desconhecido como UTA0576 e diz que o UTA0576 começou a explorar esse dispositivo em 3 de outubro. A empresa de inteligência de ameaças Defused viu os primeiros sinais de exploração a partir de 1º de outubro, segundo o BleepingComputer.

A cadeia tem três etapas:

1. Desvio de autenticação. O invasor entra sem senha.
2. Execução remota de código. O invasor executa comandos no appliance.
3. Escalonamento de privilégios. Esses comandos passam a rodar como root, a conta de sistema com poder total.

As duas primeiras são cobertas pela CVE-2026-104935, que a Ivanti classifica com nota 8,6 de 10. A Ivanti espera corrigir a terceira “em uma versão futura nas próximas semanas”, disse a Volexity.

Depois de entrar, o invasor roubou credenciais armazenadas, incluindo logins de domínio, e realizou ataques de password spraying, segundo o The Hacker News. De acordo com o iTnews, o invasor também procurou senhas de administrador local e chaves de recuperação do BitLocker, e capturou credenciais em texto puro do tráfego da VPN.

Quais versões são afetadas

A Rapid7 lista estas versões afetadas e suas correções:

Versão afetada	Corrigida em
22.8R2.4	22.8R2.5
25.1.1.1	25.1.1.2
25.1.2.2	25.1.3.0 ou 25.1.3.1
22.7.x e anteriores	Não afetadas

A Ivanti encontrou parte da falha por meio de seu próprio programa de segurança e a corrigiu na 25.1.3.0 em julho, segundo a Rapid7. Os ataques aconteceram enquanto a Ivanti ainda levava essa correção para versões mais antigas. A Ivanti disse ao CyberScoop que a falha “não atingiu o limite para um lançamento fora do ciclo”, então a correção saiu no cronograma normal.

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adicionou a falha à sua lista de vulnerabilidades sabidamente exploradas em 13 de outubro. As agências federais precisam aplicar o patch até 16 de outubro, informa o iTnews.

Por que a verificação habitual pode não detectá-lo

O invasor quase não deixou rastros. Não implantou malware nem web shell, segundo a Volexity. Em vez disso, executou de novo a cadeia inteira para cada comando e adulterou os logs do dispositivo.

O exploit também altera o código apenas na memória e restaura as configurações que modifica, segundo o The Hacker News. Assim, o exploit passou despercebido pelo Integrity Checker Tool da Ivanti, o scanner que a Ivanti orienta os clientes a executar. A CISA alertou que a ferramenta pode não detectar esse ataque e, por isso, recomenda em vez dela análise forense de rede e de memória, segundo o CyberScoop.

A Volexity acredita, com confiança média, que o invasor usou modelos de IA para criar suas ferramentas, diz o iTnews. A Volexity tem baixa confiança de que o motivo seja criminoso, e não espionagem.

“Dispositivos de borda são um ponto de apoio inicial valioso e muitas vezes permitem que invasores avancem mais dentro das redes visadas”, disse Sean Koessel, Vice President of Professional Services da Volexity, ao CyberScoop.

Um alvo conhecido

A Ivanti descreve os ataques como “exploração limitada em ambiente real”. Nenhuma das duas empresas disse quantos clientes foram atingidos. A Shadowserver, uma organização sem fins lucrativos que faz varreduras na internet, monitora mais de 5.500 appliances Connect Secure acessíveis online, segundo o BleepingComputer.

Não é a primeira vez. A lista da CISA incluiu 36 falhas da Ivanti desde novembro de 2021, segundo o BleepingComputer, e gangues de ransomware abusaram de 12 delas.

O que isso significa para desenvolvedores

Para equipes que operam o Ivanti Connect Secure ou dependem dele:

• Aplique o patch agora, não na próxima janela. “Se você está executando uma das versões afetadas, a Ivanti recomenda que aja imediatamente.” A Rapid7 também aconselha aplicar o patch fora dos ciclos normais.
• Não presuma que o patch encerra o problema. A terceira falha ainda está aberta, e um dispositivo corrigido pode já estar comprometido. Procure sinais de comprometimento depois de atualizar.
• Não confie apenas no verificador. O Integrity Checker Tool não detectou essa cadeia. Examine o tráfego de rede do appliance e use análise forense de memória quando puder.
• Rotacione o que a VPN podia ver. O invasor levou credenciais de domínio e capturou senhas do tráfego da VPN. Redefina as senhas das contas de serviço e revise os logins recentes que passaram pelo appliance.
• Fique atento à terceira correção. A Ivanti a prometeu para as próximas semanas. Até lá, limite quem pode acessar a página de login do appliance.