A Agência de Cibersegurança e Segurança de Infraestrutura (CISA) dos EUA pediu nesta terça-feira que as organizações adotem medidas imediatas para atualizar seus equipamentos e implantações do Ivanti Connect Secure (ICS) para a versão mais recente, após a divulgação de uma vulnerabilidade explorada ativamente.
A falha de segurança, identificada como CVE-2026-104935 (Vulnerabilidade e Exposição Comuns, sistema de identificação de falhas de segurança) e com pontuação CVSS de 8,6 (Sistema de Pontuação de Vulnerabilidades Comuns, escala de gravidade), é um caso de bypass de autenticação que afeta as versões 25.1.1.1 e anteriores, 25.1.2.2 e anteriores, e 22.8R2.4 e anteriores do ICS. Ela pode permitir que um invasor remoto, sem autenticação, execute comandos arbitrários.
“A CISA tem conhecimento de atores de ameaças cibernéticas explorando esta vulnerabilidade de bypass de autenticação de dia zero, que permite a execução remota e não autenticada de comandos arbitrários, para realizar roubo de credenciais e exfiltração de dados”, afirmou a agência, em comunicado.
Desde então, a agência incluiu a falha em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV, na sigla em inglês), exigindo que as agências do Ramo Executivo Civil Federal (FCEB, na sigla em inglês) apliquem as correções até 16 de outubro de 2026.
A CISA também recomenda que os clientes das implantações afetadas do ICS consultem o Guia de Compatibilidade para Atualização e Migração da Ivanti para obter orientações sobre a aplicação das correções, alertando que a versão 22.8 chega ao fim da vida útil em 31 de janeiro de 2027.
“As organizações que buscam determinar se foram comprometidas precisarão realizar perícia forense de rede e de memória para identificar evidências de exploração”, acrescentou a agência.
Caso um comprometimento seja detectado, a CISA orienta as organizações a implementar as seguintes ações:
- Criar um backup da configuração do equipamento.
- Realizar uma redefinição de fábrica e atualizar o equipamento para a versão mais recente.
- Em sistemas em nuvem e virtuais, reconstruir a instância virtual e atualizar para a versão mais recente.
- Restaurar a configuração do equipamento a partir do backup criado no passo 1.
- Redefinir as senhas de todas as contas, incluindo contas de domínio, de administrador e locais. Revogar e reemitir os certificados armazenados; redefinir as chaves de API armazenadas e as credenciais do servidor de licenças.
A divulgação ocorre quando a Previdian informou ter observado 105 tentativas de exploração direcionadas aos seus sensores de honeypots (armadilhas digitais projetadas para atrair e registrar ataques) até 14 de outubro de 2026. As tentativas de ataque partiram de 50 endereços IP exclusivos, geolocalizados em Singapura e nos EUA. Alguns dos endereços IP observados estão listados abaixo:
- 216.73.160[.]59
- 216.73.160[.]61
- 216.73.160[.]210
- 45.8.19[.]111
Segundo Ryan Dewhurst, fundador e CEO da Previdian, os atores de ameaças estão usando o cabeçalho X-DSCGI-PATH para acessar um manipulador CGI (interface de gateway comum, usada para executar programas em servidores web) interno e enviar scripts em Perl (linguagem de programação) disfarçados de arquivos ZIP (formato de arquivo compactado). Os scripts retornam marcadores exclusivos que indicam se a execução remota de código foi bem-sucedida.
“Estamos observando tentativas coordenadas de explorar esta vulnerabilidade da Ivanti, mas as cargas capturadas até agora são usadas principalmente para testar a execução de código, e não para instalar malware ou comprometer o dispositivo”, disse Dewhurst ao The Hacker News. “No entanto, a exploração totalmente armada é provável nas próximas horas e dias.”
Em um relatório separado, a Volexity afirmou que observou pela primeira vez a exploração da CVE-2026-104935 em 3 de outubro de 2026, quando um ator de ameaças anteriormente não documentado, batizado de UTA0576, a utilizou em conjunto com uma vulnerabilidade de escalonamento de privilégios para obter execução de código não autenticada com privilégios de root. Avalia-se que o UTA0576 é motivado por interesses criminosos, e não por espionagem.
Após a exploração bem-sucedida, o ator de ameaças teria realizado diversas ações pós-exploração, incluindo a extração de credenciais armazenadas no equipamento de VPN (rede privada virtual) do ICS, a exfiltração de metadados limitados do Active Directory (serviço de diretório da Microsoft), a instalação de uma ferramenta Kerberos capaz de realizar ataques Kerberoast (técnica de extração de credenciais de serviço) e testes de credenciais, a realização de reconhecimento do host, a captura de pacotes LDAP (protocolo de acesso a diretórios) e a instalação de uma ferramenta LDAP em Python para buscar senhas de administrador e chaves de recuperação do BitLocker (recurso de criptografia de disco).
“As cargas recuperadas demonstram esforços deliberados para ocultar atividade maliciosa por meio de modificação seletiva de registros, remoção de artefatos temporários de execução e restauração do estado alterado do sistema”, afirmaram os pesquisadores da Volexity Charlie Gardner, Sean Koessel e Steven Adair.
