Cadeia de exploits no Ivanti Connect Secure dá acesso root sem autenticação

Mais duas vulnerabilidades do Ivanti Connect Secure (ICS) estão agora oficialmente confirmadas como exploradas ativamente. A 30 de outubro de 2026, a agência norte-americana CISA (Cybersecurity and Infrastructure Security Agency) acrescentou CVE-2026-111357 e CVE-2026-118527 ao seu catálogo Known Exploited Vulnerabilities (KEV). Ambas fazem parte de uma cadeia de três passos que permite a um atacante sem credenciais acabar a executar código como root no gateway VPN.

O que aconteceu

As duas falhas completam uma cadeia cujo primeiro elo, o contorno de autenticação CVE-2026-104935 (CVSS 8,6), foi divulgado e entrou no KEV a 13 de outubro de 2026. A atividade é acompanhada sob a designação UTA0576, um grupo sem histórico documentado anteriormente.

• CVE-2026-104935 (CVSS 8,6): contorno de autenticação, a porta de entrada.
• CVE-2026-118527 (CVSS 4,3): identificadores previsíveis permitem a um atacante autenticado escrever ficheiros com conteúdo à escolha numa localização conhecida do disco. Na cadeia, torna-se o passo de execução de código.
• CVE-2026-111357 (CVSS 8,8): uma função crítica não verifica a autenticação, pelo que um utilizador local autenticado pode escalar privilégios. É assim que se chega a root.

Isolada, a falha de escrita de ficheiros, de gravidade média, parece menor. Encadeada após um contorno de autenticação, torna-se a ponte para o controlo total do equipamento.

Porque é importante

Este operador não instala web shells nem malware. Depois de obter root, recolhe discretamente o que lhe é útil: credenciais armazenadas, metadados limitados do Active Directory, dados de reconhecimento do host, palavras-passe de administrador e chaves de recuperação do BitLocker. Isso torna a intrusão mais difícil de detetar e mais danosa. Um gateway VPN comprometido passa a ser um inventário das chaves para o resto da rede.

A Ivanti deu prioridade à correção do contorno de autenticação, que corta a principal via de exploração, enquanto os patches para a escalada de privilégios ainda estavam em desenvolvimento. Esses patches já estão disponíveis. As versões mais recentes corrigem todas as falhas da cadeia. As agências civis federais dos EUA têm de corrigir CVE-2026-111357 até 2 de novembro de 2026 e CVE-2026-118527 até 13 de novembro de 2026.

O que fazer

1. Atualize já. ICS 25.1.1.2 e anteriores → 25.1.1.3. ICS 22.8R2.5 e anteriores → 22.8R2.6. Se ainda não corrigiu CVE-2026-104935, trate-o como uma emergência.
2. Assuma que o gateway pode ter sido usado. A ausência de web shells não prova nada aqui. Analise os registos do ICS em busca de sessões autenticadas invulgares, escritas de ficheiros inesperadas e atividade administrativa desde o início de outubro.
3. Renove tudo o que o equipamento podia alcançar. Altere as credenciais de contas de serviço e de administrador usadas ou guardadas no gateway e regenere as chaves do BitLocker dos postos cujas chaves de recuperação possam ter estado acessíveis.
4. Vigie o Active Directory. Procure enumeração do diretório e novos inícios de sessão com origem no endereço do equipamento VPN.
5. Não exponha as interfaces de gestão à internet. Restrinja-as a uma rede de administração dedicada.

Equipamentos de perímetro como o ICS estão entre os ativos mais visados de uma organização e são muitas vezes os últimos a ser atualizados. O nosso serviço de análise de vulnerabilidades identifica gateways VPN e de acesso remoto expostos à internet com versões desatualizadas e assinala as afetadas por CVE explorados ativamente, para que um equipamento exposto seja encontrado e corrigido antes de um atacante lá chegar.