Falha ativa em Ivanti Connect Secure leva a correções de emergência
Execução de comandos sem autenticação que pode resultar em acesso root levou a CISA a exigir remediação em agências federais dos EUA
A Ivanti alertou clientes na terça-feira e liberou correções que tratam duas falhas usadas em uma cadeia de ataque, afirmando estar ciente de exploração limitada em ambiente real.
A empresa de segurança Volexity relatou que um ator rastreado como UTA0576 começou, por volta de 3 de outubro, a encadear três zero-days do Ivanti Connect Secure para evoluir de execução de comando sem autenticação até acesso root.
Segundo a Volexity, o invasor não instalou um web shell persistente; em vez disso, reexplorou os dispositivos a cada comando e adulterou logs, o que complica a detecção e a resposta forense.
A agência americana CISA incluiu a vulnerabilidade CVE-2026-104935 em seu catálogo Known Exploited Vulnerabilities e determinou que agências civis federais dos EUA corrijam o problema até 16 de outubro de 2026.
Defensores enfrentam uma grande superfície exposta: o grupo Shadowserver acompanha mais de 5.500 instâncias do Connect Secure com acesso direto à internet. A Ivanti ainda está desenvolvendo uma correção para a etapa de elevação de privilégios usada na cadeia, por isso organizações devem atualizar imediatamente e, se não conseguirem confirmar a integridade dos dispositivos, realizar análises de memória e forense de rede.