VKSECURITY Três falhas inéditas na VPN Ivanti Connect Secure dão controle total do equipamento — mesmo com tudo atualizado
A Volexity flagrou, na primeira semana de outubro, um atacante encadeando três falhas desconhecidas em um equipamento Ivanti Connect Secure totalmente atualizado: entrou sem senha, executou código e virou administrador do sistema. Depois, foi atrás das credenciais do Active Directory. A Ivanti corrigiu duas das três falhas em 13 de outubro; a terceira ainda espera.
A VPN é a porta pela qual quem está fora entra na rede da empresa. Por isso, uma falha nela é sempre grave — e três falhas encadeadas, exploradas antes de qualquer correção existir, são o pior cenário. Foi o que a Volexity, empresa de resposta a incidentes, descreveu em relatório publicado em 13 de outubro sobre o Ivanti Connect Secure, um dos equipamentos de VPN mais usados em empresas e governos.
O que aconteceu
Na primeira semana de outubro, a equipe da Volexity investigou a invasão de um equipamento que estava totalmente atualizado — versão 22.8R2.4, a mais recente na ocasião. O atacante, identificado como UTA0576, encadeou três falhas até então desconhecidas:
- um contorno de autenticação na página de boas-vindas do equipamento, que permite redirecionar requisições a qualquer componente interno sem estar logado;
- uma escrita de arquivo indevida em um componente de upload, usada para executar código no sistema;
- uma escalada de privilégio na forma como um componente interno confia nos dados de configuração em cache, que leva à execução de comandos como root — o controle total do equipamento.
As duas primeiras foram catalogadas juntas como CVE-2026-104935. A Ivanti publicou correções para elas em 13 de outubro e orientou os clientes a “agir imediatamente”; a correção da terceira, segundo a Volexity, ficou para uma versão futura.
O que o invasor fez depois
Dentro do equipamento, o objetivo era um só: credenciais. A Volexity observou buscas por contas do Active Directory, por senhas de administrador local gerenciadas pelo LAPS e por chaves de recuperação do BitLocker, além de uma técnica conhecida como Kerberoasting, que extrai hashes de senha de contas de serviço para quebrá-los depois, fora da rede. Não foi deixado um web shell permanente — o atacante parecia interessado em sair com as chaves, não em ficar.
O que isso significa para a empresa
Um equipamento de VPN comprometido entrega ao invasor duas coisas de uma vez: uma posição dentro da rede e a aparência de usuário legítimo. Quem usa o Ivanti Connect Secure precisa fazer três coisas, nesta ordem:
- Verificar se foi invadido antes de atualizar — a Ivanti disponibiliza uma ferramenta de checagem de integridade, e os registros do equipamento guardam os rastros do acesso indevido. Atualizar primeiro apaga evidências.
- Atualizar para as versões corrigidas, lembrando que uma das falhas segue aberta: enquanto a correção definitiva não sai, reduzir a exposição e acompanhar os avisos da fabricante.
- Trocar as credenciais que o atacante pode ter levado — contas de serviço, senhas de administrador local, chaves de recuperação — e considerar comprometido tudo o que o equipamento tinha acesso.
É o terceiro aviso de VPN em menos de um mês, depois do Citrix NetScaler e do Cisco SD-WAN. A semelhança não é coincidência: o equipamento de acesso remoto é o único que, por definição, precisa ficar exposto à internet — e é exatamente por isso que virou o alvo preferido de quem quer entrar sem ser notado.
Fontes
- Volexity — “A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days” (13/10/2026): volexity.com
-
Ivanti — avisos de segurança: ivanti.com
-
Foto de capa: cabos de rede coloridos — Dave Ruske, CC BY 4.0, via Wikimedia Commons
- Segunda imagem: pessoa trabalhando sozinha em um escritório — Jadon Barnes, CC0 (Unsplash), via Wikimedia Commons
