Resumo executivo
Ivanti Connect Secure é um gateway de acesso remoto normalmente posicionado na borda da rede. Em 13 de outubro, a Ivanti confirmou exploração limitada da CVE-2026-104935 e recomendou ação imediata. O CISA adicionou essa falha ao KEV no mesmo dia. Em 30 de outubro, o órgão acrescentou CVE-2026-111357 e CVE-2026-118527, declarando explicitamente que ambas podem ser encadeadas com a primeira.
A prioridade não vem apenas da pontuação. Há exploração confirmada, o ativo concentra sessões de acesso remoto e a cadeia combina bypass de autenticação, escrita controlada em disco e elevação de privilégio. Organizações de defesa, governo, infraestrutura crítica e empresas brasileiras devem tratar qualquer appliance alcançável pela Internet como um ativo de alta criticidade.
O que a cadeia permite
| CVE | Função na cadeia | Impacto confirmado |
|---|---|---|
| CVE-2026-104935 | Bypass de autenticação por spoofing | Atacante remoto sem autenticação pode executar comandos; CVSS 3.1 8,6 |
| CVE-2026-111357 | Confiança indevida em dados de configuração | Atacante local autenticado pode elevar privilégios a root; CVSS 3.1 7,0 |
| CVE-2026-118527 | Identificadores previsíveis | Atacante remoto autenticado pode gravar conteúdo controlado em um local conhecido no disco |
O registro do CVE-2026-111357 limita o escopo confirmado à versão 22.8R2.4 e informa exploração em outubro de 2026. Para CVE-2026-118527, o CISA publicou a descrição e a associação à cadeia; até esta publicação, o registro detalhado ainda não estava disponível na API do CVE Program. Não atribuímos a essa falha versões, CVSS ou consequências além do que o CISA confirmou.
Versões afetadas e correção
A orientação operacional mais segura é atualizar para o build mais recente da linha suportada, não apenas para a primeira versão que corrigiu uma parte da cadeia. A síntese oficial do Canadian Centre for Cyber Security, atualizada em 30 de outubro com referência ao aviso da Ivanti, lista como afetadas as versões anteriores a:
- Linha 25.1.1: 25.1.1.3.
- Linha 25.1.3: 25.1.3.1.
- Linha 22.8R2: 22.8R2.6.
O registro CNA da CVE-2026-104935 confirma que 25.1.3.0, 25.1.3.1, 22.8R2.5 e 22.7R2.14 não são afetadas por essa CVE isoladamente. Isso não significa que esses builds cubram toda a cadeia. Use os builds mais novos do aviso da Ivanti, valide o caminho de upgrade e não trate uma correção parcial como encerramento do risco.
Evidências confirmadas
- Exploração ativa: o blog oficial da Ivanti declarou exploração limitada da CVE-2026-104935; o CISA classifica as três CVEs no KEV.
- Encadeamento: as entradas KEV de CVE-2026-111357 e CVE-2026-118527 citam expressamente a cadeia com CVE-2026-104935.
- Triagem forense: o CISA marca CVE-2026-104935 e CVE-2026-111357 para triagem forense em sua orientação de implementação.
- Prazo de referência: o KEV estabeleceu 2 de novembro para CVE-2026-111357 e 13 de novembro para CVE-2026-118527 no escopo federal norte-americano. Para ambientes brasileiros, esses prazos servem como sinal de urgência, não como limite para esperar.
Mitigação e resposta imediata
- Inventarie todos os appliances Ivanti Connect Secure, inclusive contingência, laboratório e instâncias sem DNS público. Registre versão, exposição, responsável e última verificação de integridade.
- Restrinja temporariamente o acesso de gerenciamento a redes administrativas confiáveis. Remova exposição desnecessária e aplique os controles compensatórios indicados pela Ivanti até concluir a atualização.
- Atualize para o build mais recente suportado da linha, seguindo o procedimento do fornecedor. Faça backup das configurações conforme a documentação e valide autenticação, MFA, túneis, políticas e integrações depois da mudança.
- Execute o Integrity Checker Tool recomendado pela Ivanti e preserve o resultado. Não use um resultado limpo como única evidência: correlacione logs do gateway, identidade, VPN, firewall, EDR e SIEM.
- Revise contas administrativas, chaves, certificados, integrações LDAP/RADIUS/SAML e credenciais acessíveis pelo appliance. Rotacione segredos quando houver indício de exposição ou comprometimento.
- Se houver sinais suspeitos, retire o gateway de serviço de forma coordenada, preserve imagens e logs, acione resposta a incidentes e siga a orientação forense do CISA e da Ivanti antes de restaurar a operação.
Hardening para reduzir recorrência
- Superfície externa: mantenha inventário contínuo de gateways e confirme que apenas serviços indispensáveis estão expostos.
- Administração: separe o plano de gerenciamento, exija MFA resistente a phishing e use estações administrativas controladas.
- Telemetria: envie logs para um repositório externo e imutável; retenha autenticação, alterações de configuração, eventos de integridade e conexões de administração.
- Detecção: alerte sobre criação de contas, alterações de políticas, arquivos inesperados, reinícios fora de janela e sessões administrativas de origem incomum.
- Ciclo de vida: defina SLA específico para appliances de borda e plano de migração para linhas ainda suportadas antes do fim de vida.
- Nenhum appliance permanece abaixo do build corrigido indicado para sua linha.
- A equipe concluiu a triagem de todos os gateways que ficaram expostos durante o período vulnerável.
- Credenciais e certificados potencialmente acessíveis foram avaliados e, quando necessário, rotacionados.
- Logs externos permitem reconstruir autenticações, alterações e sessões administrativas do período analisado.