Zero-day explorado do Ivanti ganha PoC à venda na dark web
Falha de bypass de autenticação no VPN corporativo Ivanti Connect Secure (CVE-2026-104935) permite execução remota de comandos sem autenticação. A exploração como zero-day está confirmada, a CVE entrou no catálogo KEV da CISA e um vendedor na dark web oferece PoC por US$ 3.000, alegando escalação para root e roubo de senhas e chaves. Atualize já para 25.1.1.2, 25.1.3.0/25.1.3.1 ou 22.8R2.5 e procure sinais de comprometimento mesmo após o patch.
O que aconteceu
Em 13 de outubro de 2026, a Ivanti divulgou uma falha no VPN corporativo Ivanti Connect Secure (CVE-2026-104935) e confirmou exploração limitada em clientes reais antes do aviso. A CISA adicionou a CVE ao catálogo KEV no mesmo dia. Agora, segundo o site dbugs, um vendedor na dark web oferece uma prova de conceito por US$ 3.000.
Por que importa
O Connect Secure fica na borda da rede e a falha permite executar comandos sem login nem senha. Com a PoC à venda, o custo do ataque cai e cada appliance sem atualização vira alvo. O vendedor alega que o exploit escala para root e extrai hashes de senha de administrador e chaves de LDAP/AD, RADIUS, SAML e Azure, expondo credenciais da corporação.
O que fazer
Atualize imediatamente para 25.1.1.2, 25.1.3.0/25.1.3.1 ou 22.8R2.5, fora do ciclo normal de patches, como recomenda a Rapid7. Rode a Integrity Checker Tool com regularidade e investigue sinais de comprometimento mesmo após a correção, com os IOC publicados pela Volexity. Atenção: a cadeia de ataque inclui uma falha de escalação de privilégio ainda sem correção.
Para o time técnico
- CVE
- CVE-2026-104935
- Afetados
- Ivanti Connect Secure (ICS) · Ivanti Connect Secure 25.1.1.1 e anteriores; 25.1.2.2 e anteriores; 22.8R2.4 e anteriores (linhas de código aplicáveis). Versões 22.7.x e abaixo não são afetadas, segundo o fabricante.
- Exploração
- Exploração como zero-day antes da divulgação de 13 de outubro de 2026; a Ivanti fala em número limitado de clientes e a CISA adicionou a CVE ao KEV no dia do aviso. A Volexity detectou a atividade no início de outubro de 2026. Em 26 de outubro de 2026, o site dbugs relatou venda de PoC na dark web por US$ 3.000; o vendedor alega testes em laboratório e em dois alvos reais.
- Correção
- Atualizar para 25.1.1.2; 25.1.3.0 ou 25.1.3.1; ou 22.8R2.5. A Ivanti orienta rodar a Integrity Checker Tool regularmente e seguir os passos de recuperação do fabricante em caso de suspeita. Correção parcial: a falha de escalação encadeada segue sem patch, com correção prevista para data posterior.
- Vetor
- Bypass de autenticação por spoofing (CWE-290) no Ivanti Connect Secure, severidade alta com CVSSv3.0 8.6 segundo a Rapid7. Atacante remoto e não autenticado executa comandos arbitrários. O vendedor da PoC alega que o exploit atua pela porta HTTPS padrão, sem credenciais, e escala para root. A Volexity descreve uso encadeado com uma falha de escalação de privilégio ainda sem correção.
- Mais detalhes
- A Ivanti afirma não dispor de IOC confiáveis, mas a Volexity publicou indicadores. Segundo a Rapid7, parte da falha foi encontrada pelo programa de segurança da Ivanti e corrigida em 25.1.3.0 em julho de 2026; a exploração ocorreu durante o backport do fix para as demais versões suportadas. O vendedor alega que em builds 22.8+ com SELinux reforçado a exfiltração pode ficar restrita; o anúncio lista a PoC como Pre-Auth RCE com nota 9.0. A Rapid7 recomenda patch de emergência fora do ciclo normal. O produto já teve zero-days explorados em 2024 e 2025.
Linha do tempo
Volexity e Ivanti detalham zero-day encadeado com PoC à venda.
Fontes 5 fontes
- Volexity: Chained Exploitation of Ivanti Connect Secure Zero-Days Volexity
- Ivanti October 2026 Security Update Ivanti
- BleepingComputer: Ivanti warns of Connect Secure zero-day BleepingComputer
- Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935) Rapid7
- Sale of a PoC for a vulnerability in Ivanti Connect Secure (CVE-2026-104935) dbugs
