Análise editorial · Fontes primárias
Cadeia de dia zero do Ivanti Connect Secure transforma comprometimento do gateway em crise de identidade
A exploração confirmada de uma falha de dia zero no Ivanti Connect Secure permitiu roubo de credenciais, exfiltração de dados e acesso a segredos de recuperação; corrigir é urgente, mas não prova que o dispositivo esteja limpo.
Cronologia confirmada
A Volexity observou exploração a partir de 3 de outubro de 2026 contra um equipamento que estava então totalmente atualizado e iniciou a investigação em 5 de outubro. Em 13 de outubro, a Ivanti coordenou uma correção e a CISA divulgou a exploração ativa da CVE-2026-104935, uma falha de contorno da autenticação que permite executar comandos sem autenticação [1][2]. O registo CVE identifica como corrigidas as versões 25.1.3.0, 25.1.3.1 e 22.8R2.5; 22.7R2.14 e anteriores são indicadas como não afetadas [3].
Intrusão observada
Esta é uma cadeia de intrusão confirmada, não apenas um aviso de vulnerabilidade. A Volexity constatou que o contorno e a execução remota de código foram combinados com uma vulnerabilidade local distinta de elevação de privilégios. O agente obteve credenciais de domínio, metadados do Active Directory, palavras-passe LAPS, chaves de recuperação BitLocker e dados de autenticação do equipamento, realizando depois pulverização de palavras-passe e reconhecimento da rede [2]. A informação pública não estabelece quantas organizações foram comprometidas.
Missão e exposição
Um gateway de acesso exposto à Internet é uma âncora de confiança. O comprometimento pode passar do acesso remoto para a identidade empresarial, a administração de endpoints e os processos de recuperação, ameaçando a continuidade mesmo depois da correção. Os responsáveis devem identificar versões expostas, rever atividades pelo menos desde 3 de outubro e avaliar a utilização subsequente de contas de ligação ao diretório, sessões privilegiadas, LAPS e chaves de recuperação.
Prioridades de resposta
Atualize imediatamente para uma versão corrigida, mas não trate a aplicação da correção como contenção. Preserve provas; isole ou reconstrua equipamentos suspeitos; revogue sessões e tokens; altere credenciais do equipamento, administrativas, de ligação LDAP e outras expostas; e reavalie os segredos LAPS e BitLocker segundo as provas. Use telemetria independente de rede, identidade, endpoint e memória, pois a Volexity observou eliminação de registos e alertou que o verificador de integridade do equipamento pode não identificar de forma fiável o comprometimento [2].
Governação e incógnitas
Atribua responsabilidade executiva entre segurança, identidade, infraestrutura, continuidade e equipas jurídicas. Exija registo independente para equipamentos de perímetro, procedimentos testados de recolha de provas e prazos de ciclo de vida para versões sem suporte. A atribuição, o número total de vítimas, os objetivos finais e a prevalência da cadeia completa continuam por verificar. A confiança é alta quanto à exploração e ao comportamento observado após o comprometimento, mas limitada quanto ao alcance geral.
Fontes
- CISA, CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure, 13 October 2026 (accessed 14 October 2026)
- Volexity, A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, 13 October 2026 (accessed 14 October 2026)
- CVE Program, CVE-2026-104935 record, published and updated 13 October 2026 (accessed 14 October 2026)
- HKCERT, Ivanti Connect Secure Remote Code Execution Vulnerability, 14 October 2026 (accessed 14 October 2026)