Zero-day do Ivanti Connect Secure explorado desde o início de outubro; atacante burla ferramenta de detecção

A Ivanti divulgou em 13 de outubro de 2026 que uma vulnerabilidade zero-day de bypass de autenticação em seu gateway SSL VPN Connect Secure, identificada como CVE-2026-104935, está sendo ativamente explorada — e que o responsável pela campanha opera desde pelo menos 1º de outubro, quase duas semanas antes do alerta público. A falha afeta as versões 22.8R2.4 e anteriores do Connect Secure (ICS), além da linha 25.1.x.

O que a vulnerabilidade permite

O bug permite que um atacante remoto não autenticado execute comandos arbitrários no appliance, sem qualquer interação do usuário e com baixa complexidade de ataque — o tipo de combinação que transforma um gateway VPN exposto à internet em uma porta aberta. A empresa de segurança Volexity, que descobriu e reportou a falha, rastreia o grupo que a explora como UTA0576. Segundo a Volexity, o ator não usou essa vulnerabilidade isoladamente: encadeou o CVE-2026-104935 com outras duas falhas para obter execução de código em nível root sem autenticação em dispositivos que estavam completamente atualizados.

A Ivanti lançou correções para duas das três vulnerabilidades dessa cadeia. Uma falha de escalada de privilégios que completa o caminho de exploração permanece sem patch até o momento desta publicação, o que significa que a correção disponível reduz, mas não fecha completamente, a superfície de ataque.

Técnicas anti-forense

O que diferencia esta campanha de uma exploração VPN comum é o trabalho de evasão do atacante. O UTA0576 não implantou malware nem web shell — os artefatos que os defensores normalmente procuram após uma invasão. Em vez disso, a Volexity observou o ator reexplorando o dispositivo do zero para cada comando que desejava executar, além de modificar ativamente os logs do dispositivo para apagar rastros de sua atividade. O grupo também burlou a própria Integrity Checker Tool da Ivanti, o utilitário que as organizações são orientadas a executar para confirmar que seu appliance não foi adulterado — ou seja, um scan limpo da Integrity Checker em um dispositivo afetado não pode ser tratado como prova de segurança.

Escala de exposição

O serviço de escaneamento de internet Shadowserver contabiliza mais de 5.500 instâncias do Connect Secure acessíveis pela internet pública, embora não esteja claro quantas são decoys, honeypots ou já foram corrigidas. Separadamente, o pesquisador Defused relatou sinais de exploração já em 1º de outubro, sugerindo que o início real da campanha pode ser anterior até mesmo à estimativa de 3 de outubro da Volexity.

O que as organizações devem fazer

A Ivanti está orientando os administradores a atualizarem imediatamente para uma versão corrigida e a tratarem a Integrity Checker Tool como um sinal entre vários, e não como uma liberação definitiva, dada a capacidade demonstrada do atacante de burlá-la. Como o terceiro componente da cadeia de exploração ainda não tem patch, as organizações que utilizam o Connect Secure devem assumir risco contínuo mesmo após aplicar as correções disponíveis, e devem revisar logs e o estado dos dispositivos em busca de sinais de comprometimento desde o início de outubro — não apenas a partir da data de divulgação.

Gateways VPN corporativos têm sido alvo recorrente ao longo de 2026 precisamente porque ficam no perímetro da rede com acesso privilegiado a tudo que está por trás deles; este incidente segue um padrão agora familiar de atores ligados a estados-nação e motivados financeiramente que encadeiam múltiplas vulnerabilidades para contornar tanto a autenticação quanto as próprias ferramentas de detecção do fornecedor em uma única campanha.

Conforme reportado pelo BleepingComputer, com base em pesquisa da Volexity e no próprio advisory de segurança da Ivanti.