A Ivanti lançou atualizações de segurança para duas vulnerabilidades do gateway de acesso remoto Connect Secure exploradas em conjunto com uma falha de bypass de autenticação em ataques observados desde pelo menos 1º de outubro.
Os problemas recém-corrigidos são a CVE-2026-111357, uma vulnerabilidade de escalonamento de privilégios de alta gravidade, e a CVE-2026-118527, que permite que invasores autenticados carreguem arquivos em um dispositivo sem correção. Os invasores usaram ambas as falhas juntamente com a CVE-2026-104935, uma vulnerabilidade de bypass de autenticação que a Ivanti corrigiu no mês passado.
A Ivanti afirmou que a atualização anterior corrigiu o principal caminho de exploração depois que a empresa tomou conhecimento de uma exploração limitada em ambiente real. A fornecedora explicou que sua prioridade era oferecer proteção rapidamente aos clientes enquanto a correção da CVE-2026-104935 passava pelo controle de qualidade para as versões compatíveis.
A Volexity, que descobriu a CVE-2026-104935, informou que um agente de ameaça identificado como UTA0576 vinha combinando a falha com duas outras vulnerabilidades desde pelo menos 3 de outubro para obter execução de código não autenticada em nível root em dispositivos Connect Secure totalmente corrigidos. Segundo a Volexity, o agente não implantou malware nem um web shell; em vez disso, explorava novamente o dispositivo para cada comando e alterava os logs para ocultar a atividade e evitar a ferramenta Integrity Checker da Ivanti.
A empresa de inteligência de ameaças Defused também relatou sinais de exploração ativa a partir de 1º de outubro. Posteriormente, a Agência de Segurança Cibernética e de Infraestrutura dos EUA adicionou a CVE-2026-104935 ao seu catálogo de vulnerabilidades conhecidamente exploradas e instruiu as agências federais a aplicar a correção disponível até sexta-feira.
A Shadowserver, que monitora a exposição na internet, acompanha atualmente mais de 5.000 instâncias do Connect Secure expostas à internet. Não há informações disponíveis sobre quantos desses sistemas foram protegidos contra os ataques em andamento.
As vulnerabilidades da Ivanti são frequentemente visadas em campanhas de dia zero porque dispositivos comprometidos podem fornecer acesso a redes corporativas. Nos últimos anos, a empresa também corrigiu outras falhas do Connect Secure exploradas em ambiente real, incluindo vulnerabilidades usadas em ataques para implantar malware.
Desde novembro de 2021, a CISA listou 38 vulnerabilidades da Ivanti como ativamente exploradas, incluindo 12 que também foram usadas em ataques de ransomware.
Fontes: BleepingComputer.