Atualizações cobrem duas vulnerabilidades
A Ivanti lançou atualizações de segurança para duas vulnerabilidades no gateway de acesso remoto Connect Secure: CVE-2026-111357 e CVE-2026-118527. Segundo a reportagem, as falhas foram encadeadas em ataques de dia zero observados desde pelo menos 1º de outubro.
A CVE-2026-111357 é uma vulnerabilidade de escalonamento de privilégios classificada como de alta severidade. Já a CVE-2026-118527 permite que invasores autenticados enviem arquivos a um dispositivo sem correção.
Exploração envolveu falha de autenticação
As duas vulnerabilidades foram exploradas junto da CVE-2026-104935, uma falha de contorno de autenticação para a qual a Ivanti havia liberado correção no mês anterior. Na ocasião, a empresa informou ter conhecimento de exploração limitada em ambiente real e recomendou atualização imediata.
A Volexity relatou que o agente de ameaça identificado como UTA0576 encadeava a CVE-2026-104935 com outras duas falhas desde pelo menos 3 de outubro. De acordo com a empresa de segurança, o objetivo observado era obter execução de código com privilégios de root, sem autenticação, em dispositivos Connect Secure totalmente atualizados.
Sinais de exploração e exposição na internet
A Defused afirmou ter identificado os primeiros sinais de exploração ativa da CVE-2026-104935 a partir de 1º de outubro. A CISA adicionou a vulnerabilidade ao catálogo de falhas exploradas ativamente e determinou que órgãos federais dos Estados Unidos aplicassem a correção até sexta-feira.
A Shadowserver rastreia mais de 5 mil instâncias do Connect Secure expostas à internet. A reportagem não apresenta quantas dessas instâncias já receberam proteção contra os ataques em curso.
Recomendação editorial
Gestores responsáveis por ambientes que utilizam Connect Secure devem priorizar a aplicação das atualizações disponibilizadas pela Ivanti e verificar a exposição de instâncias à internet. Também é recomendável revisar registros e mecanismos de monitoramento, pois a Volexity relatou que o UTA0576 reexplorava o dispositivo para cada comando e adulterava logs para ocultar sua atividade.