Ivanti Connect Secure: três falhas de dia zero encadeadas deram acesso root à VPN, e só a perícia de memória revelou o ataque

A Ivanti, fabricante do Ivanti Connect Secure (ICS), uma das VPNs corporativas mais usadas no mundo, publicou em 13 de outubro de 2026 a correção de uma falha que já vinha sendo explorada antes de ser conhecida, e a empresa americana de perícia digital Volexity, que descobriu o ataque, mostrou que o invasor encadeou três falhas para rodar comandos como root no equipamento sem precisar de senha e, ao mesmo tempo, apagou os rastros de um jeito que a ferramenta de verificação da própria Ivanti não enxergava.

A falha e quem foi atingido

A falha recebeu o código CVE-2026-104935 e foi classificada pela Ivanti como de alta gravidade, com nota 8,6 na escala CVSS, por permitir que um atacante remoto, sem autenticação, execute comandos no equipamento, segundo a análise publicada pela empresa de segurança Rapid7 no mesmo dia.

A Ivanti informou que a exploração atingiu um número limitado de clientes antes da divulgação, e a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu a falha no catálogo de vulnerabilidades sabidamente exploradas (Known Exploited Vulnerabilities, KEV) também em 13 de outubro de 2026.

Segundo a Rapid7, parte do problema foi achada pelo próprio programa de segurança da Ivanti e corrigida na versão 25.1.3.0, lançada em julho de 2026, e a exploração aconteceu enquanto a empresa levava a correção para as outras versões ainda suportadas.

O BleepingComputer informou que a organização Shadowserver, que monitora a internet, contava mais de 5.500 equipamentos ICS expostos na rede, sem saber quantos eram armadilhas para atacantes ou já estavam protegidos, e que a empresa de inteligência Defused viu os primeiros sinais de exploração em 1º de outubro de 2026.

Como a Volexity chegou ao equipamento

A investigação da Volexity começou em 5 de outubro de 2026, a partir de atividade suspeita na rede de um cliente do serviço de monitoramento da empresa, e o trabalho inicial apontou como origem um equipamento ICS com todas as atualizações instaladas, na versão 22.8R2.4, explorado repetidamente desde 3 de outubro de 2026 por um grupo que a empresa chama de UTA0576, por ainda não o ligar a nenhum grupo conhecido.

O que a cadeia permitia

A Volexity descreve três falhas usadas em sequência, um desvio de autenticação, uma falha que permitia gravar e executar um arquivo e uma escalada de privilégio, e a Ivanti trata as duas primeiras sob o código CVE-2026-104935, corrigidas em 13 de outubro de 2026, enquanto a terceira ficou para uma versão posterior.

Com a cadeia completa, o invasor conseguia executar comandos com privilégio de administrador do sistema (root) num equipamento que estava com todas as atualizações disponíveis instaladas, sem ter nenhuma senha.

Sem programa malicioso e sem registros

O ponto que mais interessa à perícia é a forma como o grupo escondeu o ataque: segundo a Volexity, o UTA0576 não instalou programa malicioso nem web shell, e repetia a cadeia inteira de exploração a cada comando, recebendo o resultado na própria resposta da conexão, sem canal separado de comando e controle.

A alteração necessária para a escalada de privilégio era feita só na memória do equipamento e desfeita logo depois, e o código do invasor ainda apagava as entradas recentes dos registros de depuração da Ivanti e do registro de auditoria do Linux, preservando as mais antigas para que a falta não chamasse atenção.

Por isso a ferramenta de verificação de integridade da Ivanti (Integrity Checker Tool), que procura mudanças inesperadas nos arquivos do disco, não detectava nada, e a Volexity escreveu que a investigação forense é necessária para identificar os sinais de exploração.

Como a perícia reconstruiu o ataque

A Volexity contou que coletou, junto com a Ivanti, imagens da memória e do disco do equipamento atacado e analisou os despejos de memória (core dumps) que a própria exploração gerava quando um processo travava, e foi com esse material, examinado na ferramenta de análise de memória da empresa, que conseguiu identificar e reconstruir a cadeia completa.

Na memória apareceram processos que não estavam visíveis numa listagem comum de arquivos, entre eles uma ferramenta de captura de tráfego de rede renomeada para parecer um serviço do sistema, guardada numa pasta oculta e gravando em oito arquivos que se sobrescreviam em rodízio, e também scripts e arquivos de saída que o invasor já tinha apagado do disco.

A empresa ressalva que, embora o código recuperado mostre essas funções de limpeza, não ficou estabelecido até que ponto cada uma delas funcionou de fato no equipamento examinado.

O que o invasor fez lá dentro

Segundo a Volexity, logo depois de entrar o grupo passou a roubar credenciais e dados: extraiu as credenciais de domínio guardadas no equipamento, exportou parte dos metadados do Active Directory, procurou senhas de administrador local gerenciadas pelo LAPS e chaves de recuperação do BitLocker, testou senhas em massa contra contas da rede e tentou tirar credenciais do tráfego capturado.

A empresa avalia com alta confiança que o operador interagia com os resultados dos comandos, e não apenas rodava um roteiro pronto, e que as ações preparavam um movimento lateral para outras máquinas da rede, mas os objetivos finais não puderam ser determinados porque a operação foi detectada e interrompida.

A Volexity atribui ao grupo, com baixa confiança, motivação criminosa e não de espionagem, por causa do alvo, e avalia com confiança média que o grupo usa modelos de linguagem de grande porte para desenvolver as explorações e conduzir as ações seguintes, entre outros motivos pela complexidade da cadeia.

Correção, histórico e orientação

Em atualização do texto, a Volexity informou que a Ivanti publicou em 29 de outubro de 2026 a correção da escalada de privilégio, registrada como CVE-2026-111357.

A Rapid7 recomenda aplicar as atualizações em caráter emergencial, fora do ciclo normal, e procurar sinais de comprometimento mesmo depois da correção, já que, segundo a Ivanti, não havia indicadores confiáveis de comprometimento no momento do aviso, e a Volexity publicou os indicadores que encontrou.

A Volexity orienta quem suspeitar de invasão a fazer perícia de rede e de memória, porque a ferramenta de integridade da Ivanti pode não identificar o comprometimento, e diz que equipamentos com tentativas de movimento lateral partindo da VPN devem ser investigados.

O Connect Secure já teve outras falhas de dia zero exploradas, como as CVE-2023-46805 e CVE-2024-21887, corrigidas em janeiro de 2024, e a CVE-2025-22457, explorada desde meados de março de 2025 por espiões ligados à China, e a CISA já incluiu 36 falhas de produtos Ivanti na lista de exploradas desde novembro de 2021, 12 delas usadas por grupos de ransomware, segundo o BleepingComputer.