Zero-day no Ivanti Connect Secure permite invasão de VPN e roubo de credenciais
Uma cadeia de vulnerabilidades no Ivanti Connect Secure permitiu que invasores contornassem a autenticação, executassem código no appliance e alcançassem privilégios de root. A investigação identificou também o acesso a credenciais e informações ligadas ao Active Directory, ampliando o risco para além do equipamento de VPN.
Em 5 de outubro, durante a análise de atividades suspeitas na rede de um cliente, pesquisadores da Volexity encontraram um appliance Ivanti Connect Secure comprometido. O dispositivo executava a versão 22.8R2.4, considerada atualizada naquele momento. A análise forense indicou que a invasão havia começado dois dias antes. O caso veio a público em 13 de outubro, quando a Ivanti divulgou correções para a falha CVE-2026-104935.
O Connect Secure é usado para criar conexões VPN entre funcionários remotos e recursos corporativos. Como costuma ficar na borda da rede e se comunicar com serviços internos de autenticação, um comprometimento pode servir de ponto de partida para alcançar outros sistemas e dados da organização.
A CVE-2026-104935 recebeu pontuação CVSS 8,6, considerada alta. No dia da divulgação, a agência norte-americana CISA incluiu a vulnerabilidade no catálogo Known Exploited Vulnerabilities (KEV), que reúne falhas com exploração confirmada. Para os órgãos federais sujeitos à determinação, a agência estabeleceu 16 de outubro como prazo para a correção.
Como a cadeia de falhas permitia invadir o appliance
A primeira etapa envolvia uma inconsistência no processamento de requisições HTTP. Uma solicitação enviada a uma página pública de autenticação podia indicar, em um cabeçalho, o caminho para outro componente CGI – um recurso que normalmente exigiria autorização. O appliance verificava o acesso com base no endereço público, mas encaminhava a solicitação ao componente interno especificado. Essa divergência abria caminho para contornar a autenticação.
Na sequência, os invasores exploravam um recurso de upload. O sistema gravava o arquivo recebido em uma área temporária antes de verificar seu formato e removê-lo caso fosse inválido. Durante o breve intervalo em que o conteúdo permanecia no dispositivo, requisições simultâneas tentavam executá-lo. A combinação entre o desvio de autenticação e essa condição de corrida permitia executar código remotamente no contexto do serviço CGI.
Para obter privilégios de root, os atacantes recorriam a uma terceira vulnerabilidade. O código modificava temporariamente dados em memória ligados a tarefas do serviço privilegiado dsinvoked e redirecionava uma rotina de manutenção para iniciar um interpretador controlado pelo invasor. Depois da execução, tentava restaurar as alterações e apagar vestígios relacionados à atividade.
Segundo a Volexity, a falha de elevação de privilégios ainda não tinha uma correção própria quando a pesquisa foi divulgada. As vulnerabilidades de autenticação e execução remota foram agrupadas pela Ivanti sob a identificação CVE-2026-104935.
Credenciais e dados internos também foram expostos
O impacto observado não se limitou ao controle do equipamento. A investigação apontou a extração de credenciais armazenadas no appliance, entre elas uma conta de serviço usada para consultas LDAP. Também foram identificadas informações relacionadas ao Active Directory, senhas gerenciadas pelo LAPS e chaves de recuperação do BitLocker.
Esses dados podem ser valiosos para uma tentativa de avançar pela rede corporativa. Credenciais de serviço, por exemplo, podem permitir consultas ou acessos a recursos internos, dependendo das permissões associadas à conta. Senhas LAPS e chaves BitLocker, por sua vez, podem expor mecanismos de administração local ou facilitar o acesso a dispositivos protegidos. O risco concreto depende da configuração da empresa e dos privilégios concedidos a cada conta.
Os pesquisadores atribuíram a atividade ao grupo UTA0576, uma identificação provisória para um agente ainda pouco conhecido. O método empregado dificultava a detecção: os comandos e seus resultados trafegavam pelas mesmas requisições HTTPS usadas na exploração, sem depender necessariamente de um servidor externo de comando e controle. Parte do código era executada diretamente na memória, sem criar arquivos persistentes.
Por esse motivo, a ferramenta Integrity Checker da Ivanti, projetada para detectar alterações inesperadas em arquivos, pode não identificar toda a atividade descrita. A ausência de alertas ou de arquivos suspeitos não deve ser interpretada, isoladamente, como prova de que o dispositivo permaneceu íntegro.
O que as organizações devem fazer
Aplicar a atualização disponibilizada pela Ivanti é uma medida urgente, mas não encerra a resposta a um possível comprometimento. Se o equipamento foi explorado antes da correção, instalar o patch não garante que comandos, credenciais ou informações já obtidas pelos invasores tenham deixado de representar risco.
As equipes de segurança devem verificar os registros do appliance e da rede em busca de solicitações incomuns, acessos a componentes internos, atividade anormal de upload e comandos executados pelo equipamento. A análise deve considerar o período anterior à atualização, pois uma correção instalada posteriormente não elimina os vestígios nem desfaz ações realizadas durante a invasão.
Também é recomendável avaliar a rotação das credenciais que o appliance podia acessar ou armazenar, incluindo contas de serviço e senhas administrativas. A troca precisa ser planejada para evitar interrupções, mas não deve ser adiada quando houver indícios de exposição. No caso de chaves BitLocker e senhas LAPS, a organização deve avaliar se a substituição ou a renovação é necessária conforme os sistemas afetados e o alcance possível do acesso.
Outra frente importante é revisar os privilégios das contas integradas à VPN e aos serviços de diretório. Contas com permissões maiores do que o necessário podem transformar o comprometimento de um único equipamento em uma ameaça mais ampla. A autenticação multifator também ajuda a reduzir o risco em outros acessos, embora não substitua a correção da vulnerabilidade nem a investigação do appliance.
Por fim, empresas devem tratar dispositivos de acesso remoto como ativos críticos, monitorando-os de forma contínua e mantendo um plano de resposta a incidentes. A combinação de atualização, análise forense, revisão de credenciais e verificação dos sistemas conectados é essencial para determinar se a invasão ficou restrita à VPN ou avançou para outros ambientes da rede.