Ivanti lança correção para zero-days do Connect Secure explorados em cadeia

O que aconteceu

Atacantes encadearam três falhas zero-day no VPN corporativo Ivanti Connect Secure e obtiveram acesso root sem autenticação, mesmo em aparelho com todas as correções disponíveis na época. O Ivanti afirmou que um número limitado de clientes foi atingido. A CISA listou as falhas no catálogo KEV após exploração ativa.

Por que importa

Segundo a Volexity, os atacantes roubaram credenciais, exfiltraram dados, varreram a rede e adulteraram logs. Quem já instalou as versões que corrigiam a primeira falha (25.1.1.2 ou 22.8R2.5) precisa atualizar de novo. Órgãos federais dos EUA têm prazos de 2 e 13 de novembro para corrigir.

O que fazer

Atualizar o Ivanti Connect Secure imediatamente para 25.1.1.3 ou 22.8R2.6, que corrigem toda a cadeia. Instalar 25.1.1.2 ou 22.8R2.5 não basta: atualize novamente. Verificar credenciais, logs e exfiltração de dados.

Para o time técnico

CVE

CVE-2026-118527, CVE-2026-111357, CVE-2026-104935

Afetados

Ivanti Connect Secure · Ivanti Connect Secure 25.1.1.2 e anteriores; 22.8R2.5 e anteriores (Ivanti, via SecurityWeek).

Exploração

Exploração ativa confirmada: CISA adicionou CVE-2026-111357 e CVE-2026-118527 ao KEV; CVE-2026-104935 está no KEV desde 13 de outubro. Volexity descobriu a exploração ao investigar incidente em um cliente e atribuiu a atividade ao ator UTA0576; primeiros sinais em 3 de outubro. A Defused relatou ataques à CVE-2026-104935 em seus decoys a partir de 1º de outubro, antes da divulgação.

Correção

Atualizar para 25.1.1.3 ou 22.8R2.6, que segundo o Ivanti abordam todas as vulnerabilidades encadeadas e exploradas. Quem instalou 25.1.1.2 ou 22.8R2.5 (correção da CVE-2026-104935) deve atualizar novamente. Prazos federais: 2026-11-02 (CVE-2026-111357) e 2026-11-13 (CVE-2026-118527).

Vetor

Componente: Ivanti Connect Secure (VPN). Cadeia de três falhas: CVE-2026-104935 (bypass de autenticação), CVE-2026-111357 (ausência de autenticação em função crítica; escalada de privilégio por atacante local autenticado; CVSS 8.8) e CVE-2026-118527 (geração de identificadores previsíveis; atacante remoto autenticado grava arquivos com conteúdo controlado em localização conhecida em disco; CVSS 4.3). Encadeadas, deram execução de código root sem autenticação em aparelho totalmente corrigido na época (Volexity).

Mais detalhes

Ivanti afirmou que um número limitado de clientes foi atingido até a divulgação. Conduta observada pela Volexity: roubo de credenciais, exfiltração de dados, varredura de rede e adulteração de logs; a empresa avalia com baixa confiança que UTA0576 tem motivação criminosa, não espionagem. Parte da vulnerabilidade foi encontrada pelo programa de segurança de produto do Ivanti e corrigida na 25.1.3.0, lançada em julho; os ataques ocorreram enquanto a correção chegava às demais versões suportadas. Uso em ransomware: desconhecido (CISA).

Linha do tempo

1. 02/11/2026 05:01

   Ivanti publica correções para os zero-days CVE-2026-111357 e CVE-2026-118527, confirmados em cadeia de ataque e listados no KEV da CISA.

2. 31/10/2026 06:14

   CISA adiciona as falhas ao catálogo KEV após exploração ativa; a CVE-2026-111357 (CVSS 8.8) é ausência de autenticação em função crítica, encadeada com as demais até acesso root sem autenticação.

3. 30/10/2026 14:33

   Incidente aberto.

Fontes 3 fontes

• CVE-2026-118527: Ivanti Connect Secure (Ivanti Connect Secure Generation of Predictable Numbers or Identifiers Vulnerability) CISA KEV
• CVE-2026-111357: Ivanti Connect Secure (Ivanti Connect Secure Missing Authentication for Critical Function Vulnerability) CISA KEV
• Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access The Hacker News
• Ivanti Patches Two More Zero-Days Exploited in Connect Secure Attack Chain SecurityWeek

Ver todas as notícias