A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) instou as equipes de segurança a atualizar imediatamente os dispositivos Ivanti Connect Secure, após confirmar a exploração de uma vulnerabilidade de bypass de autenticação em ataques de dia zero desde pelo menos 1º de outubro.
A vulnerabilidade, registrada sob o identificador CVE-2026-104935, é classificada como de alta gravidade e permite que invasores remotos sem privilégios executem comandos arbitrários nos sistemas-alvo. Os ataques não exigem interação do usuário, o que aumenta o risco para dispositivos expostos à internet.
Atualizações da Ivanti e exploração observada
A Ivanti lançou na terça-feira as versões 22.8R2.5, 25.1.3.0, 25.1.3.1 e 25.1.1.2 para corrigir a falha e instou os clientes a agir imediatamente, observando que havia exploração limitada no mundo real.
A Volexity afirmou que um agente de ameaça não identificado, rastreado pela empresa como UTA0576, começou, desde pelo menos 3 de outubro, a combinar essa vulnerabilidade com outras duas para executar uma cadeia de ataque que reúne bypass de autenticação, execução remota e escalada de privilégios, chegando à execução de comandos com privilégios de root sem autenticação.
Segundo a Volexity, as atividades pós-comprometimento tinham como alvo credenciais e segredos do Active Directory, incluindo senhas do Local Administrator Password Solution (LAPS) e chaves de recuperação do BitLocker. A Defused também confirmou ter encontrado indicadores de exploração da vulnerabilidade no mundo real desde 1º de outubro.
Por que esta notícia é importante?
A Shadowserver monitora mais de 5.600 hosts expostos à internet que apresentam assinaturas do Ivanti Connect Secure, mas esse número não esclarece quantos estão protegidos ou representam ambientes de monitoramento fictícios. Portanto, instalar apenas a atualização não é suficiente para comprovar que não houve comprometimento, especialmente porque os comandos dos invasores podem ser executados na memória.
A CISA adicionou a vulnerabilidade à lista de vulnerabilidades exploradas na prática e obrigou as agências civis executivas federais a proteger suas redes até sexta-feira, conforme a Diretiva Operacional Vinculante BOD 26-04. A agência também emitiu um alerta separado a todas as equipes de segurança e administradores de rede para atualizar os sistemas e verificar indicadores de comprometimento.
O que fazer quando houver suspeita de comprometimento?
A CISA alerta contra a dependência exclusiva da Integrity Checker Tool da Ivanti, pois ela pode não detectar vestígios da exploração da CVE-2026-104935 quando os comandos são executados na memória. A agência recomenda realizar uma análise forense da rede e da memória e, depois, seguir as etapas abaixo quando o comprometimento for confirmado:
- Criar um backup das configurações do dispositivo.
- Executar uma restauração para as configurações de fábrica e instalar a versão mais recente; sistemas em nuvem e virtuais devem ser reconstruídos e atualizados.
- Restaurar as configurações a partir do backup.
- Alterar as senhas de todas as contas, incluindo contas de domínio, de administradores e contas locais.
- Revogar e reemitir os certificados armazenados, além de redefinir as chaves de API e as credenciais do servidor de licenças.
Este incidente faz parte de uma série de vulnerabilidades do Ivanti Connect Secure exploradas em campo nos últimos anos. Desde novembro de 2021, a CISA adicionou 36 vulnerabilidades relacionadas à Ivanti à lista de vulnerabilidades exploradas na prática; 12 delas também foram usadas em ataques de ransomware.