Falhas no Ivanti Connect dão acesso root sem login desde hoje
Três vulnerabilidades encadeadas no Ivanti Connect Secure estão sendo exploradas para dar acesso root sem autenticação, afetando agências do governo dos EUA e outras organizações. CISA cobra correções rápidas.
Segurança Digital
Vulnerabilidades críticas no Ivanti Connect Secure permitem acesso root sem autenticação, impactando órgãos governamentais e exigindo ação imediata.
Leia também: Ataques cibernéticos com IA invadem 19 empresas no Japão hoje
Três vulnerabilidades encadeadas no Ivanti Connect Secure estão sendo exploradas ativamente para permitir execução remota de código com privilégios de root sem qualquer autenticação, em ataques que já atingem agências do governo federal dos EUA e outras organizações que usam o produto para acesso remoto seguro.
Cadeia de falhas dá controle total sem malware visível
A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu no seu catálogo de vulnerabilidades conhecidas e exploradas as falhas CVE-2026-111357 e CVE-2026-118527, depois de constatar que elas vêm sendo usadas em conjunto com uma brecha de bypass de autenticação, a CVE-2026-104935, que tem pontuação 8,6 no índice de gravidade CVSS.
De acordo com a empresa de segurança Volexity, que documentou a cadeia de ataque, um grupo de ameaças batizado de UTA0576 combina as três brechas para tomar o controle total dos dispositivos Ivanti. “Esta cadeia de exploração combinou um bypass de autenticação, uma execução remota de código e uma vulnerabilidade de escalonamento de privilégios para alcançar execução de código em nível root sem autenticação”, afirmou a Volexity.
Em vez de instalar web shells ou malwares tradicionais, os invasores usam o acesso privilegiado para extrair credenciais, metadados limitados do Active Directory, fazer reconhecimento interno das máquinas e procurar senhas de administrador e chaves de recuperação do BitLocker. A técnica reduz sinais típicos de infecção e torna a detecção mais difícil, ao mesmo tempo em que abre espaço para movimentação lateral silenciosa dentro das redes.
Entenda o contexto
O Ivanti Connect Secure é uma solução amplamente usada para acesso remoto seguro, inclusive por órgãos públicos e grandes empresas. Como esses equipamentos ficam na borda da rede e concentram autenticação de usuários, uma falha crítica neles costuma ter impacto transversal sobre todo o ambiente interno.
A CISA trata o caso como prioridade e, ao colocar as falhas no catálogo de vulnerabilidades conhecidas e exploradas, obriga as agências civis federais dos EUA a aplicar correções em prazos definidos. Erros explorados em cadeia, como neste episódio, permitem que um atacante parta de um simples bypass de autenticação até o controle total do sistema, sem necessidade de credenciais válidas.
Quais são os prazos para corrigir as falhas?
As agências federais civis dos EUA têm até 2 de novembro para aplicar os patches que corrigem a CVE-2026-111357 e até 13 de novembro para a CVE-2026-118527, de acordo com as determinações da CISA.
Embora a exigência formal valha para órgãos do governo americano, o alerta vale como referência para qualquer organização que use o Ivanti Connect Secure. Enquanto os dispositivos permanecerem desatualizados, seguem expostos à mesma cadeia de exploração usada pelo grupo UTA0576.
Resposta da Ivanti e o que as empresas devem fazer
A Ivanti informou que já trabalhava em uma correção para a falha de bypass de autenticação quando a exploração em cadeia veio à tona. “No momento da descoberta da exploração, a Ivanti já possuía uma correção para CVE-2026-104935 que estava em QA para versões suportadas, e decidimos não atrasar a entrega de uma correção que resolvia o caminho principal de exploração quando a vulnerabilidade de escalonamento de privilégios foi descoberta”, disse a empresa.
Segundo a fabricante, parte da vulnerabilidade foi identificada internamente em seu programa de segurança de produto e corrigida na versão 25.1.3.0, lançada em julho. De lá para cá, a companhia vem trabalhando para aplicar o patch em versões anteriores. As atualizações mais recentes prometem corrigir todas as falhas exploradas em conjunto pelo grupo UTA0576.
Especialistas recomendam a aplicação imediata dos patches, revisão de logs em busca de acessos suspeitos, monitoramento reforçado de contas privilegiadas e checagem de possíveis acessos indevidos a credenciais e chaves de recuperação do BitLocker. Para organizações com dados sensíveis, especialmente no setor público, o episódio reforça a necessidade de processos de atualização ágeis e de arquitetura de segurança que presuma falhas em camadas de acesso remoto.
