CISA adiciona duas falhas da Ivanti ao KEV

A CISA incluiu no catálogo Known Exploited Vulnerabilities as CVE-2026-111357 e CVE-2026-118527 do Ivanti Connect Secure, com base em evidências de exploração ativa. A Ivanti havia publicado atualizações em 29 de outubro para as duas vulnerabilidades e, segundo a CISA, elas se somam à CVE-2026-104935 em uma cadeia que permite execução remota de comandos sem autenticação.

O que a CISA adicionou ao catálogo KEV?

A CISA adicionou duas falhas do Ivanti Connect Secure à lista de vulnerabilidades exploradas ativamente. São elas a CVE-2026-111357 e a CVE-2026-118527, ambas incluídas no Known Exploited Vulnerabilities catalog em 30 de outubro de 2026.

A agência baseou a decisão em evidências de exploração ativa. No mesmo comunicado, a CISA lembrou que a CVE-2026-104935 havia sido corrigida em 13 de outubro e afirmou que as três vulnerabilidades podem ser encadeadas para obter execução remota de comandos sem autenticação.

O que a Ivanti corrigiu em 29 de outubro?

A Ivanti liberou atualizações para a CVE-2026-111357 e a CVE-2026-118527 em 29 de outubro, e a cobertura técnica citada indica que as versões 25.1.1.3 e 22.8R2.6 resolvem a cadeia completa. O The Stack também informou que a atividade observada no Connect Secure era incomum.

O Security Affairs descreveu a CVE-2026-111357 como uma falha de ausência de autenticação em uma função crítica. Já a CVE-2026-118527 foi definida como uma falha de identificadores previsíveis que permite a um atacante autenticado carregar arquivos com conteúdo malicioso em um local conhecido.

Qual foi o alcance técnico da cadeia?

Segundo a CISA, as três vulnerabilidades podem ser combinadas para obter execução remota de comandos sem autenticação. Isso posiciona a CVE-2026-104935 como parte do encadeamento inicial, enquanto as duas falhas adicionadas ao KEV completam a sequência que afetou o Ivanti Connect Secure.

O Security Boulevard, citando registros oficiais do KEV e o Centre for Cybersecurity Belgium, acrescentou que a CVE-2026-111357 permitiria a um atacante local autenticado elevar privilégios, e que a CVE-2026-118527 permitiria a um atacante remoto autenticado carregar conteúdo controlado pelo atacante em um local conhecido. A mesma cobertura atribuiu à Ivanti a confirmação de que ambas foram encadeadas com a CVE-2026-104935 para alcançar execução remota de código antes da autenticação e escalar para root.

O que se sabe sobre os ataques?

O CybersecurityNews informou que a Ivanti confirmou ataques contra um número limitado de clientes, embora o resultado consultado não tenha incluído uma cifra verificável nem apontado o comunicado original do fabricante. A Cyware acrescentou que os ataques teriam começado em 3 de outubro de 2026 e usado em conjunto a CVE-2026-104935, a CVE-2026-111357 e a CVE-2026-118527, mas essa data não foi corroborada por uma fonte primária independente no material disponível.

Bragg, em uma análise atribuída ao ator acompanhado pela Volexity como UTA0576, disse que houve consultas ao Active Directory para obter senhas de administradores do LAPS e chaves de recuperação do BitLocker, além de reconhecimento de hosts e exclusão seletiva de registros. Esse relatório também afirmou que nenhum web shell foi instalado, embora esses detalhes não apareçam corroborados por uma fonte primária nos resultados disponíveis.