A Ivanti instou seus clientes a atualizar imediatamente o gateway de acesso remoto Ivanti Connect Secure após a divulgação da vulnerabilidade de dia zero CVE-2026-104935, uma vulnerabilidade de bypass de autenticação de alta gravidade que está sendo explorada em ataques reais. A vulnerabilidade afeta as versões 22.8R2.4 e anteriores, 25.1.2.2 e anteriores, e 25.1.1.1 e anteriores.
A vulnerabilidade permite que invasores não autorizados executem comandos arbitrários nos dispositivos-alvo por meio de ataques de baixa complexidade que não exigem qualquer interação do usuário. O Connect Secure, anteriormente conhecido como Pulse Connect Secure e, antes disso, Juniper Pulse, é usado para fornecer acesso seguro de funcionários, contratados e equipes híbridas a recursos corporativos e serviços de nuvem.
Exploração em múltiplas etapas
A Ivanti afirmou ter identificado uma exploração limitada da vulnerabilidade no ambiente da Internet no momento da divulgação e instou os clientes a consultar o boletim de segurança, atualizar para uma versão corrigida e executar regularmente a ferramenta Integrity Checker. No entanto, a Volexity, que descobriu e comunicou a vulnerabilidade, afirmou que um agente de ameaça desconhecido, rastreado pela empresa como UTA0576, a utiliza desde pelo menos 3 de outubro e a associou a duas vulnerabilidades adicionais para executar código com privilégios de root sem autenticação, inclusive em dispositivos totalmente atualizados.
Segundo a Volexity, o agente invasor não implantou malware nem ferramentas web persistentes; em vez disso, voltou a explorar o dispositivo para executar cada comando, além de adulterar os registros para ocultar seus rastros e conseguir contornar a ferramenta Integrity Checker da Ivanti. A Defused confirmou ter identificado os primeiros indícios de exploração da vulnerabilidade em ambiente real em 1º de outubro.
O que muda na prática?
O risco não se limita à instalação da correção para a vulnerabilidade atual, pois a Ivanti informou que ainda trabalha na correção de uma vulnerabilidade de escalada de privilégios usada na mesma cadeia. Por isso, os operadores dos dispositivos afetados precisam seguir integralmente o boletim de segurança, verificar a integridade dos sistemas e dos registros e não considerar, isoladamente, a aprovação no Integrity Checker como evidência suficiente de que o dispositivo não foi adulterado.
A Shadowserver acompanha mais de 5.500 instâncias do Connect Secure expostas na Internet, sem informações disponíveis que determinem quantos dispositivos são honeypots ou já foram protegidos. Isso aumenta a importância de identificar os ativos expostos e priorizar sua atualização, especialmente porque os gateways de acesso remoto ficam na fronteira entre a Internet e as redes corporativas.
Contexto recorrente de um produto visado
A Ivanti corrigiu, nos últimos anos, várias vulnerabilidades de dia zero no Connect Secure exploradas em ataques, incluindo CVE-2023-46805 e CVE-2024-21887 em janeiro de 2024, e CVE-2024-21893 posteriormente no mesmo mês, além das vulnerabilidades de execução remota CVE-2025-0282 e CVE-2025-22457 em 2025. A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, CISA, também contabilizou 36 vulnerabilidades em produtos da Ivanti exploradas ativamente desde novembro de 2021; grupos de ransomware fizeram uso indevido de 12 delas.
Leitura da certi.news: a mudança efetiva aqui é a passagem de uma vulnerabilidade de bypass de autenticação do âmbito da divulgação para a exploração prática, concedendo ao invasor a capacidade de executar comandos com privilégios elevados, com indícios de técnicas que ajudam a evitar ferramentas de verificação. O alcance da exploração e o número de dispositivos efetivamente comprometidos ainda não estão determinados, o que torna a atualização e a verificação forense dos sistemas afetados duas medidas paralelas, sem que uma possa substituir a outra.