A Ivanti pediu aos clientes nesta terça-feira que apliquem imediatamente um patch para uma vulnerabilidade zero-day explorada ativamente no Ivanti Connect Secure (ICS), um gateway de acesso remoto.
Anteriormente conhecido como Pulse Connect Secure e, originalmente, como Juniper Pulse, o ICS é uma VPN SSL voltada para empresas. A solução permite que funcionários remotos, prestadores de serviços e equipes em modelos híbridos acessem com segurança recursos corporativos e de cloud.
Identificada como
CVE-2026-104935
, a vulnerabilidade zero-day de alta gravidade permite contornar a autenticação. Ela afeta as versões 22.8R2.4 e anteriores, 25.1.2.2 e anteriores e 25.1.1.1 e anteriores do ICS.
Threat actors remotos sem privilégios podem explorar a
CVE-2026-104935
em ataques de baixa complexidade, sem necessidade de interação do usuário, para executar comandos arbitrários nos dispositivos ICS visados.
“Até o momento da divulgação, a Ivanti tinha conhecimento de uma exploração limitada da falha. Estamos trabalhando diretamente com as organizações afetadas e, ao mesmo tempo, disponibilizando informações, atualizações e medidas de correção para toda a comunidade de clientes. Se você usa uma das versões afetadas, recomendamos que tome providências imediatamente”, informou a empresa.
“Os clientes devem consultar o comunicado de segurança, atualizar para a versão corrigida o mais rápido possível e executar regularmente a ferramenta Integrity Checker.”
A Shadowserver, organização que monitora ameaças na internet, acompanha mais de 5.500 instâncias do ICS expostas on-line. Não há informações sobre quantas são honeypots ou já foram protegidas contra os ataques em andamento.
A empresa de cibersegurança Volexity, que identificou e reportou a falha, revelou nesta terça-feira que um threat actor até então desconhecido, rastreado como UTA0576, combina a
CVE-2026-104935
com outras duas falhas desde pelo menos 3 de outubro. A cadeia permite executar código sem autenticação e com privilégios de administrador em dispositivos totalmente atualizados.
“É importante notar que o UTA0576 não implantou malware nem uma web shell. Em vez disso, o threat actor voltou a explorar o dispositivo a cada comando executado e alterou os logs para encobrir seus rastros, contornando a ferramenta Integrity Checker da Ivanti”, afirmou a Volexity.
A Ivanti já corrigiu duas das falhas, mas ainda trabalha para solucionar uma vulnerabilidade de elevação de privilégios que o UTA0576 explorou como parte da mesma cadeia.
A empresa de inteligência sobre ameaças Defused também confirmou o relato da Volexity. Segundo ela, os primeiros indícios de exploração da
CVE-2026-104935
em ataques reais foram detectados a partir de 1º de outubro.
Hackers exploram com frequência vulnerabilidades da Ivanti, muitas vezes como zero-day, porque elas oferecem um caminho rápido para invadir redes corporativas e roubar dados confidenciais de clientes e empresas.
Nos últimos anos, a Ivanti também corrigiu várias outras vulnerabilidades zero-day do Connect Secure exploradas em ataques reais. Algumas foram combinadas em campanhas de grande alcance para instalar malware.
No início de janeiro de 2024, a empresa corrigiu uma falha que permitia contornar a autenticação (CVE-2023-46805) e outra de injeção de comandos (CVE-2024-21887). Duas semanas depois, corrigiu uma vulnerabilidade de server-side request forgery (SSRF), identificada como
CVE-2024-21893
.
Mais recentemente, em janeiro de 2025, corrigiu uma vulnerabilidade de execução remota de código (RCE), identificada como
CVE-2025-0282
, e uma segunda falha de RCE (
CVE-2025-22457
), explorada por espiões cibernéticos ligados à China desde pelo menos meados de março de 2025.
Desde novembro de 2021, a Cybersecurity and Infrastructure Security Agency (CISA) dos Estados Unidos incluiu 36 vulnerabilidades de diferentes produtos da Ivanti em sua lista de falhas exploradas ativamente. Grupos de ransomware também abusaram de 12 delas.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...