Ivanti corrige duas novas vulnerabilidades zero-day exploradas em ataques ao Connect Secure

A Ivanti disponibilizou atualizações de segurança para corrigir duas vulnerabilidades zero-day no Ivanti Connect Secure (ICS), exploradas em ataques que combinaram três falhas para comprometer equipamentos VPN. As vulnerabilidades foram adicionadas ao catálogo Known Exploited Vulnerabilities (KEV) da agência norte-americana CISA, confirmando a existência de exploração ativa.

As duas falhas, identificadas como CVE-2026-111357 e CVE-2026-118527, foram acrescentadas ao aviso de segurança publicado originalmente pela Ivanti a 13 de outubro, relativo à CVE-2026-104935, uma vulnerabilidade que permite contornar os mecanismos de autenticação do Connect Secure.

Segundo a fabricante, a combinação das três vulnerabilidades foi utilizada em ataques que afetaram um número limitado de clientes. A exploração permitiu aos atacantes obter privilégios elevados em equipamentos que, à data dos incidentes, tinham todas as atualizações disponíveis instaladas.

A CVE-2026-111357, classificada com uma gravidade de 8,8 na escala CVSS, resulta da ausência de autenticação numa função crítica do produto. A falha permite que um atacante autenticado, com acesso local, eleve os seus privilégios no sistema.

Esta era a vulnerabilidade de escalada de privilégios para a qual ainda não existia uma correção quando os ataques foram divulgados, em meados de outubro.

Já a CVE-2026-118527, com uma pontuação CVSS de 4,3, está relacionada com a geração de identificadores previsíveis. A sua exploração permite que um atacante autenticado carregue remotamente ficheiros com conteúdos à sua escolha para uma localização conhecida no disco.

Embora as duas vulnerabilidades tenham requisitos de exploração específicos, a sua combinação com a CVE-2026-104935, que permite contornar a autenticação, criou uma cadeia de ataque capaz de proporcionar execução de código com privilégios root sem necessidade de credenciais válidas.

A empresa de cibersegurança Volexity identificou esta cadeia de exploração durante a investigação de um incidente num dos seus clientes. Segundo a análise, os atacantes conseguiram comprometer um equipamento Ivanti Connect Secure que se encontrava totalmente atualizado na altura do ataque.

Atualizações anteriores não corrigem todas as falhas

As vulnerabilidades CVE-2026-111357 e CVE-2026-118527 afetam o Ivanti Connect Secure 25.1.1.2 e versões anteriores, bem como o 22.8R2.5 e versões anteriores. As correções estão incluídas nas versões 25.1.1.3 e 22.8R2.6, respetivamente.

Esta distinção é particularmente relevante para as organizações que já tinham aplicado as atualizações disponibilizadas em outubro. As versões 25.1.1.2 e 22.8R2.5 corrigiam a CVE-2026-104935, mas não eliminavam as restantes vulnerabilidades utilizadas na cadeia de ataque.

Assim, as organizações que atualizaram os equipamentos após o primeiro aviso de segurança terão de instalar novas versões para garantir a correção das três falhas.

“A versão mais recente corrige todas as vulnerabilidades que foram combinadas e exploradas em ataques reais”, afirmou a Ivanti.

A fabricante explicou que, quando identificou os ataques, a correção para a CVE-2026-104935 já se encontrava em processo de validação de qualidade. Depois de descobrir a vulnerabilidade de escalada de privilégios, optou por disponibilizar imediatamente a atualização existente, uma vez que esta bloqueava a principal via de exploração.

A Ivanti indicou ainda que parte da vulnerabilidade tinha sido identificada anteriormente através do seu programa de segurança de produto e corrigida na versão 25.1.3.0, disponibilizada em julho. Os ataques ocorreram enquanto a empresa trabalhava na disponibilização da correção para outras versões suportadas.

CISA estabelece prazos para correção

A Cybersecurity and Infrastructure Security Agency (CISA) acrescentou as duas novas vulnerabilidades ao catálogo KEV a 30 de outubro, depois de confirmada a sua exploração ativa.

Para as agências federais norte-americanas abrangidas pelas obrigações aplicáveis, a CISA estabeleceu o prazo de 2 de novembro para corrigir a CVE-2026-111357 e de 13 de novembro para a CVE-2026-118527.

A inclusão no KEV reforça a necessidade de as organizações verificarem as versões instaladas nos equipamentos Ivanti Connect Secure, sobretudo quando estes estão expostos à Internet e asseguram o acesso remoto às redes empresariais.

Atacantes procuravam credenciais e informação sensível

A Volexity atribuiu a atividade a um grupo anteriormente desconhecido, que passou a identificar como UTA0576.

Durante a investigação, a empresa observou que os atacantes se concentravam principalmente no roubo de credenciais, na exfiltração de dados, na análise da rede e na manipulação de registos de atividade.

Estas ações sugerem que o acesso inicial aos equipamentos VPN era utilizado como ponto de entrada para recolher informação e explorar outros recursos da infraestrutura comprometida.

A Volexity considera, com um grau de confiança reduzido, que o grupo terá motivações financeiras, em vez de estar associado a operações de espionagem. A atribuição permanece, por isso, incerta.

A empresa identificou os primeiros indícios de exploração a 3 de outubro, antes da divulgação pública das vulnerabilidades. A Defused, especializada em inteligência sobre ameaças, reportou igualmente atividade contra os seus sistemas de deteção a partir de 1 de outubro, que acredita estar relacionada com a CVE-2026-104935.

Os incidentes demonstram que a cadeia de exploração estava a ser utilizada antes de os utilizadores terem conhecimento das vulnerabilidades e de estarem disponíveis todas as correções necessárias.

Para as organizações que utilizam o Ivanti Connect Secure, a prioridade passa pela instalação das versões corrigidas e pela análise de eventuais sinais de comprometimento, uma vez que a aplicação das atualizações anteriores não assegura proteção contra a totalidade da cadeia de ataque.