Ivanti Connect Secure: três falhas exploradas exigem nova atualização de VPNs

Uma atualização de segurança aplicada há poucas semanas pode não ser suficiente para proteger equipamentos Ivanti Connect Secure expostos à internet. A fabricante confirmou duas novas vulnerabilidades utilizadas em conjunto com uma falha de autenticação divulgada em outubro. A combinação permitiu que invasores assumissem o controle de appliances de acesso remoto, roubassem credenciais e coletassem informações de ambientes corporativos. O alerta é especialmente importante para organizações que corrigiram a primeira vulnerabilidade e consideraram o incidente encerrado.

Em 13 de outubro, a Ivanti tornou pública a CVE-2026-104935, uma falha de desvio de autenticação que possibilita a execução de comandos sem credenciais válidas em versões afetadas do Connect Secure. A CISA incluiu a vulnerabilidade em seu catálogo de falhas comprovadamente exploradas. O Blog Minuto da Segurança já havia noticiado o problema e os riscos para VPNs corporativas. A investigação avançou no fim do mês, quando a fabricante e pesquisadores detalharam outras duas falhas usadas pelos mesmos operadores para ampliar o comprometimento.

A CVE-2026-111357 está relacionada à ausência de autenticação adequada em uma função crítica e pode permitir elevação de privilégios a partir de um acesso local autenticado. Já a CVE-2026-118527 envolve identificadores previsíveis, permitindo que um atacante autenticado envie arquivos com conteúdo controlado para uma localização conhecida no equipamento. Isoladamente, essas condições têm requisitos e impactos diferentes. Encadeadas à CVE-2026-104935, entretanto, tornam possível transformar uma entrada sem autenticação em controle privilegiado do dispositivo.

A Volexity identificou a exploração durante uma investigação de resposta a incidentes e passou a rastrear o responsável como UTA0576. Segundo os pesquisadores, a atividade observada incluiu busca por credenciais, extração de dados, reconhecimento de rede e manipulação de registros. A empresa relatou indícios de ataques desde o início de outubro, antes da divulgação pública da primeira falha. A atribuição do grupo e suas motivações permanecem sujeitas às limitações das evidências disponíveis; a observação de técnicas de intrusão não comprova, por si só, que todas as organizações expostas tenham sido comprometidas.

O aspecto mais preocupante é que a primeira rodada de correções não resolveu integralmente a cadeia. Versões como 25.1.1.2 e 22.8R2.5, adotadas para tratar a CVE-2026-104935 em determinadas ramificações, ainda exigem nova atualização para corrigir as vulnerabilidades divulgadas depois. O Centro Canadense de Segurança Cibernética indica como referências de correção as versões 25.1.1.3, 25.1.3.1 e 22.8R2.6, conforme a linha utilizada. A seleção do pacote deve seguir o comunicado oficial e a matriz de compatibilidade da Ivanti, pois os caminhos de atualização variam conforme o hardware, a versão e a implantação.

Uma VPN corporativa comprometida representa um problema maior do que a indisponibilidade de um serviço remoto. Esses equipamentos estão posicionados na fronteira entre a internet e recursos internos, processam autenticações e podem armazenar informações sensíveis para a operação. Quando o invasor obtém privilégios elevados no próprio appliance, controles aplicados aos usuários da VPN não necessariamente impedem que o equipamento seja utilizado como ponto de observação, coleta de segredos ou acesso posterior a outros sistemas.

A atualização é necessária, mas não encerra a investigação

Em 30 de outubro, a CISA acrescentou a CVE-2026-111357 e a CVE-2026-118527 ao catálogo Known Exploited Vulnerabilities, reforçando que não se trata de uma possibilidade apenas teórica. A agência recomenda atualizar imediatamente os appliances afetados e realizar análise forense de rede e memória quando houver suspeita de comprometimento. Um detalhe merece atenção: o Integrity Checker Tool da Ivanti pode não identificar todos os vestígios da CVE-2026-104935, porque parte dos comandos maliciosos é executada diretamente na memória.

Isso significa que um resultado aparentemente normal em uma verificação de integridade não deve ser interpretado como prova definitiva de ausência de intrusão. É necessário correlacionar telemetria de rede, eventos de autenticação, conexões administrativas, alterações de configuração e possíveis sinais de movimentação lateral. Em ambientes com evidências de comprometimento, a CISA orienta preservar uma cópia da configuração, realizar restauração de fábrica ou reconstrução da instância virtual, atualizar para a versão corrigida e restaurar a configuração de forma controlada. Também recomenda redefinir senhas, revogar e reemitir certificados armazenados e substituir chaves de API e outras credenciais potencialmente expostas.

Para empresas brasileiras, a prioridade deve começar pelo inventário dos appliances Ivanti Connect Secure em operação, incluindo instâncias virtuais e equipamentos utilizados por unidades remotas. É importante confirmar a versão efetivamente instalada, e não apenas a existência de um chamado de atualização concluído em outubro. A equipe de segurança deve verificar se o equipamento continua acessível pela internet, se houve mudanças inesperadas nas configurações e se as credenciais armazenadas ou utilizadas por ele exigem rotação.

Também é recomendável restringir a superfície administrativa, limitar caminhos de comunicação com sistemas internos, preservar registros fora do appliance e revisar a segmentação dos recursos acessíveis por VPN. Essas medidas não substituem a correção do produto, mas ajudam a reduzir o impacto caso um equipamento de borda seja explorado. Para organizações com requisitos rígidos de disponibilidade, a atualização deve ser planejada com testes e contingência, sem transformar a necessidade operacional em justificativa para adiar indefinidamente uma correção já associada a ataques reais.

A Ivanti informou que a versão mais recente contempla as falhas utilizadas em conjunto nos ataques observados. A série 22.8 também se aproxima do encerramento de suporte previsto para 31 de janeiro de 2027, o que torna a migração um tema de planejamento, além da resposta emergencial. A lição para a gestão de vulnerabilidades é direta: aplicar o primeiro patch não basta quando a investigação de um ataque continua revelando novas etapas de exploração. A correção precisa ser acompanhada de validação da versão, análise de possível comprometimento e revisão das identidades que passaram pelo equipamento.