Ivanti corrige zero-day explorado em ataques a equipamentos VPN

A Ivanti alertou para a exploração ativa de uma vulnerabilidade zero-day nos seus equipamentos VPN Connect Secure (ICS), que permite a execução remota de comandos sem autenticação. A falha, identificada como CVE-2026-104935 e classificada com gravidade elevada, foi utilizada numa cadeia de exploração que permitiu a um grupo de atacantes obter privilégios root num equipamento que tinha todas as atualizações de segurança disponíveis instaladas.

A Ivanti confirmou ter conhecimento de ataques que afetaram um número limitado de clientes e disponibilizou atualizações para corrigir duas das vulnerabilidades envolvidas. No entanto, uma terceira falha, relacionada com a elevação de privilégios, permanece sem correção.

A atividade maliciosa foi identificada pela empresa de cibersegurança Volexity durante a investigação de um incidente num dos seus clientes. Os investigadores atribuíram a operação a um grupo até então não documentado, identificado como UTA0576, que explorou uma cadeia de três vulnerabilidades zero-day para comprometer um equipamento Ivanti Connect Secure.

Segundo a Volexity, a CVE-2026-104935 abrange duas falhas: uma que permite contornar a autenticação e outra que possibilita a execução remota de código. A combinação destas vulnerabilidades com uma terceira falha de elevação de privilégios permitiu aos atacantes executar comandos com permissões root, sem necessidade de credenciais válidas. O facto de o equipamento estar totalmente atualizado demonstra que as correções anteriormente disponíveis não eram suficientes para impedir este ataque. A Volexity encontrou indícios de exploração desde 3 de outubro de 2026, enquanto a Ivanti divulgou o alerta e as respetivas correções a 13 de outubro.

Depois de comprometerem o equipamento VPN, os atacantes concentraram a sua atividade na recolha de credenciais, reconhecimento da rede e extração de informação. A investigação da Volexity identificou o roubo de credenciais de domínio armazenadas no equipamento e a exfiltração de uma quantidade limitada de metadados do Active Directory.

Os atacantes utilizaram ainda uma ferramenta personalizada para procurar palavras-passe geridas pelo Windows Local Administrator Password Solution (LAPS) e chaves de recuperação do BitLocker. A operação incluiu também tentativas de password spraying.

Os investigadores observaram igualmente a utilização de uma ferramenta Kerberos desenvolvida pelos atacantes para testar credenciais, bem como tentativas de extrair informação de autenticação a partir de tráfego de rede capturado.

Além destas atividades, o grupo realizou pesquisas na rede interna, recolheu dados de configuração do equipamento e analisou registos de autenticação para identificar nomes de utilizador válidos. A Volexity detetou também tentativas de manipulação de registos, mas não encontrou evidências da instalação de backdoors ou web shells no equipamento comprometido.

A atividade foi identificada e interrompida antes de os atacantes concretizarem os seus objetivos finais. Ainda assim, a Volexity considera, com elevado grau de confiança, que as ações observadas eram consistentes com a preparação de movimentação lateral e de uma possível expansão do ataque à rede da organização.

A recolha de credenciais de domínio, a procura de chaves de recuperação BitLocker e o reconhecimento de sistemas internos poderiam facilitar o acesso a outros equipamentos e serviços. Quanto à motivação do grupo UTA0576, os investigadores admitem a possibilidade de se tratar de uma operação de natureza criminosa, em vez de espionagem. Esta avaliação apresenta, contudo, um baixo grau de confiança.

A Volexity considera também, com confiança moderada, que o grupo poderá ter utilizado grandes modelos de linguagem (LLM) no desenvolvimento dos exploits e nas atividades posteriores à exploração. Esta hipótese resulta da análise da operação e não constitui uma confirmação de que tenham sido utilizadas ferramentas específicas de inteligência artificial.

A Ivanti disponibilizou atualizações para corrigir as duas vulnerabilidades abrangidas pela CVE-2026-104935. As versões corrigidas do Ivanti Connect Secure são 22.8R2.5, 25.1.1.2, 25.1.3.0 e 25.1.3.1.

A terceira vulnerabilidade utilizada na cadeia de ataque, que permite a elevação de privilégios, ainda não dispõe de patch. A fabricante prevê disponibilizar uma correção nas próximas semanas. Embora esta falha permaneça por resolver, a instalação das atualizações já disponibilizadas é importante para interromper a cadeia de exploração conhecida, uma vez que corrige as vulnerabilidades utilizadas para obter o acesso inicial.

Para as organizações que utilizam Ivanti Connect Secure, o incidente reforça a necessidade de verificar não apenas a versão instalada, mas também a eventual existência de sinais de comprometimento anteriores à aplicação das correções.

A análise de registos de autenticação, a identificação de acessos suspeitos e a revisão das credenciais armazenadas nos equipamentos VPN assumem particular importância, tendo em conta as atividades observadas pela Volexity.

Nos sistemas potencialmente comprometidos, a atualização do software não elimina, por si só, o risco associado a credenciais que possam ter sido roubadas. A investigação demonstra ainda que o comprometimento de um equipamento VPN pode proporcionar aos atacantes um ponto de entrada para operações mais abrangentes, mesmo quando o dispositivo se encontrava atualizado antes da divulgação das vulnerabilidades.