CISA alerta para CVE-2026-104935 na Ivanti
CISA confirmou exploração ativa da CVE-2026-104935 no Ivanti Connect Secure. Ivanti publicou correções e pediu revisão de indícios de invasão.
A CISA informou que agentes de ameaça estão explorando ativamente a CVE-2026-104935 no Ivanti Connect Secure, uma falha de bypass de autenticação que permite execução remota de comandos sem credenciais. A agência incluiu o caso em seu catálogo de vulnerabilidades exploradas em 13 de outubro de 2026 e pediu aplicação de patches, análise forense e, se necessário, restauração de fábrica dos equipamentos afetados.
A CISA informou que agentes de ameaça estão explorando ativamente a vulnerabilidade CVE-2026-104935 no Ivanti Connect Secure. A falha permite executar comandos arbitrários remotamente e sem autenticação, e já vem sendo usada para roubo de credenciais e exfiltração de dados. A agência a adicionou ao catálogo Known Exploited Vulnerabilities em 13 de outubro de 2026.
¿Qué dijo Ivanti sobre la falla?
Ivanti publicou correções para ICS 25.1.1.2, 25.1.3.0, 25.1.3.1 e 22.8R2.5, e esclareceu que a linha 22.7R2.14 ou anteriores não é afetada, segundo seu aviso. A fabricante classificou a vulnerabilidade com CVSS 8.6, nível alto, e a descreveu como um bypass de autenticação por spoofing.
A Ivanti também afirmou que, no momento da divulgação, a exploração conhecida era limitada. Como resposta, recomendou atualizar, executar periodicamente sua Integrity Checker Tool e revisar os indicadores de compromisso publicados pela Volexity.
¿Qué mostraron los análisis técnicos?
A análise da Volexity reconstruiu uma cadeia de ataque que combinou bypass de autenticação, gravação de arquivos e execução remota de código. Depois dessa primeira etapa, uma escalada de privilégios separada permitiu obter acesso root, segundo o relatório citado.
iTnews informou ainda que um appliance comprometido rodava ICS 22.8R2.4, que aparecia como totalmente atualizado no momento do comprometimento, e atribuiu o caso ao ator UTA0576. O Center for Internet Security publicou um aviso independente que confirma a exploração relatada pela Ivanti e lista como afetadas as versões 25.1.1.1 ou anteriores, 25.1.2.2 ou anteriores e 22.8R2.4 ou anteriores.
¿Qué versiones quedan bajo revisión?
As versões atingidas variam conforme o aviso consultado, mas todas se referem a linhas específicas do Ivanti Connect Secure e a equipamentos já em produção. A CISA se baseou na exploração ativa para incluir a CVE em sua lista de vulnerabilidades conhecidas, enquanto a Ivanti limitou o alcance conhecido em seu comunicado inicial.
| Versão ou linha | Status segundo o material | Fonte |
|---|---|---|
| 25.1.1.2, 25.1.3.0, 25.1.3.1 | Corrigidas pela Ivanti | Ivanti |
| 22.8R2.5 | Corrigida pela Ivanti | Ivanti |
| 22.7R2.14 ou anteriores | Não afetada, segundo a fabricante | Ivanti |
| 25.1.1.1 ou anteriores | Afetadas, segundo o CIS | Center for Internet Security |
| 25.1.2.2 ou anteriores | Afetadas, segundo o CIS | Center for Internet Security |
| 22.8R2.4 ou anteriores | Afetadas, segundo o CIS | Center for Internet Security |
CyberScoop informou, sem confirmação independente no material entregue, que a Ivanti teria identificado inicialmente parte da vulnerabilidade durante controles internos em junho.
Fontes
- CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Securecisa.gov· Cybersecurity and Infrastructure Security Agency (CISA)
- Ivanti misses opportunity to fix vulnerability before attacks begancyberscoop.com· CyberScoop
- Ivanti warns of Connect Secure zero-day exploited in attacksbleepingcomputer.com· BleepingComputer
- A Vulnerability in Ivanti Connect Secure Could Allow for Arbitrary Code Executioncisecurity.org· Center for Internet Security
- Attackers chain three Ivanti VPN zero-days for root accessitnews.com.au· iTnews
- Ivanti zero-day chain reaches root while evading integrity checkssecurity.io· Security.io
- Security Advisory Ivanti Connect Secure (CVE-2026-104935)hub.ivanti.com· Ivanti
