A Ivanti emitiu atualizações de segurança urgentes para corrigir duas novas vulnerabilidades de "dia zero" em gateways de acesso remoto (Connect Secure - ICS), após a descoberta de que foram exploradas em ataques encadeados iniciados no início de outubro de 2026. Esta medida faz parte das tentativas da empresa de fechar as brechas que os invasores utilizaram para obter níveis profundos de controle nas redes corporativas.
Detalhes das vulnerabilidades e mecanismo de exploração encadeada
A primeira vulnerabilidade, identificada como CVE-2026-111357, é uma falha de alta gravidade que permite a escalada de privilégios, enquanto a segunda, CVE-2026-118527, permite que invasores autenticados enviem arquivos maliciosos para dispositivos não atualizados. Os invasores encadearam essas duas vulnerabilidades com uma terceira falha de desvio de autenticação (CVE-2026-104935), para a qual a Ivanti já havia lançado uma correção no mês passado.
A empresa explicou que decidiu inicialmente focar na correção da falha de desvio de autenticação por representar o principal vetor de ataque, antes de descobrir posteriormente que os invasores estavam usando as outras vulnerabilidades para consolidar sua presença dentro dos sistemas. A Ivanti confirmou que esse encadeamento permitiu aos invasores executar comandos em nível de "root" (raiz do sistema), mesmo em dispositivos que as organizações acreditavam estar totalmente protegidos.
Comportamento dos invasores e técnicas de ocultação
A empresa de segurança cibernética Volexity, que monitorou esses ataques, revelou que um grupo de ameaça conhecido como UTA0576 estava por trás dessas operações. O que diferencia este ataque é que os invasores não dependeram da instalação de softwares maliciosos tradicionais ou web shells; em vez disso, eles reexploravam a vulnerabilidade a cada comando executado, manipulando os registros do sistema para apagar seus rastros e evitar a detecção pelas ferramentas de verificação de integridade da Ivanti.
A empresa de inteligência de segurança Defused também confirmou essas descobertas, observando que os primeiros sinais de exploração ativa começaram em 1º de outubro, o que reflete a rapidez com que os invasores respondem a vulnerabilidades recém-descobertas em infraestruturas críticas.
Alertas oficiais e disseminação global
Dada a gravidade da situação, a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adicionou a vulnerabilidade principal ao seu catálogo de vulnerabilidades exploradas conhecidas e ordenou que as agências federais atualizassem seus sistemas imediatamente. Dados do observatório Shadowserver indicam a existência de mais de 5.000 dispositivos do tipo ICS expostos na internet, e ainda não está claro quantos dispositivos foram efetivamente protegidos até o momento.
Por que esta notícia é de extrema importância?
Os gateways de acesso remoto da Ivanti são um alvo preferencial para grupos de espionagem cibernética, especialmente aqueles ligados a Estados-nação, pois fornecem uma entrada direta para as redes de grandes empresas para o roubo de dados sensíveis. O que muda na prática é que os invasores tornaram-se mais capazes de se ocultar através de "ataques sem arquivo" (fileless attacks), tornando insuficiente a dependência de ferramentas de verificação tradicionais. Os administradores de sistemas devem não apenas instalar as atualizações, mas também revisar os registros de acesso em busca de qualquer atividade anormal desde o início de outubro, uma vez que a atualização corrige a vulnerabilidade, mas não expulsa um invasor que já tenha conseguido comprometer o sistema e estabelecido sua presença por outros meios.