Três falhas zero-day no Ivanti Connect Secure permitem obter acesso root
A exploração encadeada de três vulnerabilidades desconhecidas no Ivanti Connect Secure permitiu que um invasor executasse comandos com privilégios de root sem autenticação. O ataque foi identificado em um equipamento atualizado, que operava com a versão 22.8R2.4 quando a atividade começou, em 3 de outubro.
A Volexity descobriu a campanha e comunicou as falhas à Ivanti. A empresa de segurança acompanha o responsável pelo ataque sob o identificador UTA0576. Embora tenha avaliado, com baixo grau de confiança, que a motivação seria criminosa – e não de espionagem -, a atribuição ainda não é conclusiva. Em 13 de outubro, a fabricante confirmou que tinha conhecimento de exploração limitada.
Como as vulnerabilidades foram encadeadas
As duas primeiras falhas combinam um desvio de autenticação com a execução remota de código e foram registradas sob o identificador CVE-2026-104935. A vulnerabilidade recebeu pontuação 8,6 na escala CVSS. Exploradas em conjunto, elas permitem executar código no dispositivo com os privilégios da conta `cgi-server`.
Uma terceira vulnerabilidade eleva esse acesso até o nível de root, que concede controle praticamente irrestrito sobre o sistema. Na data da divulgação, essa falha ainda não tinha correção disponível. A Ivanti informou que pretendia distribuir o reparo em uma versão futura, nas semanas seguintes.
De acordo com o registro do CVE, as versões anteriores à 25.1.3.0 são consideradas afetadas. Já as versões 22.8R2.5, 25.1.3.0 e 25.1.3.1 aparecem como não afetadas, assim como a 22.7R2.14 e as versões anteriores dessa linha.
Por que a detecção pode ser difícil
O verificador de integridade recomendado pela Ivanti não identificou a cadeia de exploração no equipamento analisado. Isso ocorreu porque o ataque modifica o código de uma biblioteca apenas na memória e, depois, restaura os dados de configuração que alterou. Dessa forma, uma verificação convencional pode não encontrar sinais evidentes de invasão.
A ausência de alertas ou de arquivos maliciosos conhecidos, portanto, não basta para descartar um comprometimento. A investigação pode exigir análise forense do tráfego de rede e da memória do dispositivo, além da correlação entre registros de autenticação, conexões e atividades administrativas.
No incidente examinado, o invasor roubou credenciais armazenadas no equipamento, entre elas dados de acesso ao domínio LDAP. Também procurou senhas no Active Directory e realizou tentativas de autenticação em várias contas, uma técnica conhecida como *password spraying*. Apesar da atividade, não foram encontrados backdoors nem web shells.
A CISA classificou a exploração como ativa e avaliou o impacto técnico como total. Esse nível de risco é especialmente relevante porque dispositivos de acesso remoto costumam atuar na borda da rede corporativa e podem oferecer uma via para alcançar serviços internos.
Medidas recomendadas para organizações
Empresas que usam Ivanti Connect Secure devem confirmar a versão instalada e aplicar as atualizações disponíveis para seu ambiente assim que possível. Como a correção da terceira vulnerabilidade ainda não estava liberada no momento da divulgação, organizações afetadas devem acompanhar os avisos do fabricante e seguir as orientações de mitigação correspondentes.
Também é importante verificar se o equipamento apresenta conexões incomuns, tentativas repetidas de login, alterações inesperadas em contas ou acessos a serviços internos que não façam parte da rotina. A análise deve incluir registros do dispositivo, sistemas de identidade, servidores LDAP e Active Directory, além de ferramentas de monitoramento de rede.
Se houver suspeita de invasão, a equipe de segurança deve tratar as credenciais armazenadas no equipamento como potencialmente expostas. Isso inclui redefinir senhas, revogar sessões e tokens quando aplicável e revisar contas privilegiadas. A troca de credenciais, contudo, não substitui a investigação: é necessário identificar o alcance do acesso antes de considerar o incidente resolvido.
Como o invasor pode operar sem deixar arquivos persistentes, a coleta de evidências deve ser feita com cuidado. Reiniciar o dispositivo ou aplicar mudanças sem registrar previamente as informações disponíveis pode eliminar dados voláteis úteis à perícia. Quando houver indícios de comprometimento, a organização deve preservar evidências e avaliar a necessidade de isolamento controlado do equipamento.
Por fim, a resposta não deve se limitar à atualização do appliance. É recomendável revisar as políticas de acesso remoto, restringir privilégios, habilitar autenticação multifator onde houver suporte e monitorar tentativas de reutilização de credenciais. Essas medidas ajudam a reduzir o impacto caso senhas tenham sido roubadas e dificultam que um acesso inicial se transforme em uma invasão mais ampla.