Ivanti: cadeia de zero-days dá root em VPN mesmo atualizada

A Ivanti divulgou nesta terça-feira (13) uma falha de dia zero no Connect Secure, seu gateway de VPN corporativa, já explorada por atacantes antes de existir correção. No mesmo dia, a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) incluiu a vulnerabilidade, registrada como CVE-2026-104935, no catálogo de falhas sabidamente exploradas e deu às agências federais civis até 16 de outubro para corrigir. São três dias de prazo.

Três falhas, uma sem correção

A empresa de resposta a incidentes Volexity, que publicou a análise técnica também no dia 13, descreve uma cadeia de três defeitos. Os dois primeiros, um desvio de autenticação e uma execução remota de código agrupados sob o CVE-2026-104935, permitem a um invasor sem credenciais executar comandos no equipamento com o usuário do servidor web. O terceiro, uma escalada de privilégio, eleva esse acesso a root. Segundo a Volexity, o grupo que ela rastreia como UTA0576 explora a cadeia desde pelo menos 3 de outubro, contra aparelhos que rodavam a versão 22.8R2.4, a mais recente disponível naquele momento.

A Ivanti corrigiu os dois primeiros defeitos. A escalada de privilégio continua aberta: de acordo com a Volexity, a correção virá "em uma versão futura nas próximas semanas". Na prática, uma empresa que aplicou tudo o que o fabricante liberou até o início do mês estava exposta a um atacante capaz de assumir o controle total do equipamento sem senha. A Rapid7 recomendou aplicar a atualização fora do ciclo normal de manutenção.

Por que o equipamento importa

Um concentrador de VPN fica na borda da rede e autentica cada funcionário, terceirizado e fornecedor que acessa sistemas internos. Comprometê-lo dá ao invasor um ponto de observação sobre credenciais e sessões de toda a organização, e a apuração costuma ser difícil porque esses aparelhos raramente rodam o agente de detecção instalado nos servidores e estações.

O Connect Secure tem histórico. Em janeiro de 2024, duas falhas encadeadas no mesmo produto, a CVE-2023-46805 e a CVE-2024-21887, foram exploradas por um grupo ligado à China rastreado como UNC5221. A CISA respondeu com a diretiva de emergência 24-01 e, numa medida que a imprensa especializada descreveu como inédita, mandou as agências federais desconectarem todas as instâncias do produto em 48 horas, com reinstalação de fábrica antes de religá-las. A diretiva também mandava presumir comprometidas as contas de domínio associadas aos aparelhos.

A Volexity não atribuiu o UTA0576 a nenhum país, e nem ela nem a Ivanti informaram quantos clientes foram atacados. Este texto não faz essa atribuição.

Onde o risco se espalha

Nos EUA, o prazo de 16 de outubro vale apenas para o governo federal, mas a lista da CISA funciona como referência de prioridade para bancos, operadoras de saúde e fornecedores do governo, que costumam usá-la nos contratos e nas auditorias.

Na Austrália, a imprensa especializada repercutiu o alerta com recomendação de correção imediata. O país viveu o episódio de 2024 de perto: o Centro Australiano de Segurança Cibernética publicou com a CISA o aviso conjunto que mostrou como os atacantes enganavam a ferramenta de verificação de integridade da própria Ivanti.

O caso também chega à cadeia de terceirização. Consultorias e prestadores de serviços de TI que operam centros de entrega na Índia, no Leste Europeu ou no Brasil acessam ambientes de clientes, em grande parte, por VPNs corporativas como essa. Um gateway comprometido do lado do cliente expõe as credenciais do fornecedor, e um gateway comprometido do lado do fornecedor abre caminho para dezenas de clientes ao mesmo tempo.

O que pesa para o CISO

Com a terceira falha ainda sem correção, aplicar o pacote liberado reduz o risco, mas não fecha a cadeia completa. O manual consolidado em 2024 continua válido: tratar o aparelho como potencialmente comprometido se ele esteve exposto desde o início de outubro, coletar evidências antes de reiniciar, trocar as credenciais que passaram por ele e checar se os logs foram apagados ou desativados, sinal que a própria Volexity já apontou como indicador forte de invasão.

O episódio acrescenta um dado incômodo à discussão sobre substituir VPNs por modelos de acesso de confiança zero. Pela segunda vez em menos de três anos, o mesmo produto foi explorado em cadeia antes do fabricante saber do problema, e desta vez a versão mais atual estava vulnerável. Para os conselhos que perguntam se a empresa está "em dia com os patches", a resposta honesta neste caso é que estar em dia não bastou.