Ivanti corrige duas falhas exploradas no Connect Secure; falha de elevação de privilégios segue sem patch
CISA determinou prazo curto para órgãos federais após confirmação de roubo de credenciais e técnicas de ataque em memória que podem driblar checagens padrão.
A Ivanti divulgou publicamente duas falhas — um bypass de autenticação e uma execução remota de código (CVE‑2026‑104935) — e liberou atualizações que corrigem esses dois pontos na terça‑feira, 13 de outubro. Uma terceira vulnerabilidade, de elevação de privilégios usada na mesma cadeia de ataque, ainda não foi corrigida.
A empresa de segurança Volexity afirma que um ator que monitora como UTA0576 encadeou três zero‑days desde o início de outubro para obter root sem autenticação em appliances Connect Secure. Em vez de deixar um web shell persistente, o invasor rerodava a cadeia de exploits sempre que precisava executar um comando.
Os investigadores encontraram evidências de roubo de credenciais armazenadas, coleta de dados do Active Directory, busca por chaves de recuperação LAPS e BitLocker e adulteração de logs. Por isso, organizações devem caçar sinais de comprometimento com análises de rede e de memória, e não contar apenas com o Integrity Checker da Ivanti.
Builds afetadas do Connect Secure incluem versões até 25.1.1.1/25.1.2.2 e 22.8R2.4. A Ivanti lista builds corrigidas como 25.1.3.0, 25.1.3.1 e 22.8R2.5; clientes devem atualizar imediatamente se estiverem em uma versão impactada.
A agência americana CISA adicionou a CVE‑2026‑104935 ao seu Known Exploited Vulnerabilities catalog e fixou 16 de outubro como prazo para órgãos federais remediarem a falha. Com mais de 5.500 appliances Ivanti acessíveis pela internet reportados, analistas alertam que, sem resposta rápida de correção e de investigação forense, é provável que a exploração se torne mais ampla e leve a intrusões mais profundas na rede.