CISA pede que administradores corrijam imediatamente falha do Ivanti explorada como zero-day

a computer screen with a bunch of code on it — Chris Ried / Unsplash

A CISA pediu que equipes de segurança apliquem imediatamente um patch de uma falha do Ivanti Connect Secure (ICS) que foi explorada como zero-day desde pelo menos 1º de outubro.

A agência classificou a vulnerabilidade como CVE-2026-104935 e a considerou de alta gravidade, permitindo que atores remotos sem privilégios executem comandos arbitrários em sistemas ICS.

Ivanti lançou versões 22.8R2.5, 25.1.3.0, 25.1.3.1 e 25.1.1.2 na terça-feira para corrigir a falha e advertiu que os clientes devem "agir imediatamente" devido a "exploração limitada no mundo real".

A empresa Volexity identificou um grupo desconhecido, rastreado como UTA0576, que encadeia esta falha com outras duas vulnerabilidades desde 3 de outubro.

"Esta cadeia de exploração combina uma bypass de autenticação, execução remota de código (RCE) e elevação de privilégios para alcançar execução de código não autenticada com privilégios de root", explicou a Volexity.

A firma Defused confirmou a descoberta, afirmando que detectou abusos da CVE-2026-104935 a partir de 1º de outubro.

O Shadowserver registra mais de 5.600 hosts expostos com impressão digital de ICS, mas não há dados sobre quantos foram protegidos ou configurados como armadilhas.

A CISA incluiu a CVE-2026-104935 em sua lista de falhas exploradas ativamente e determinou que agências federais devem garantir a segurança de suas redes até sexta-feira, conforme a diretiva operacional vinculativa 26-04.

A agência também orientou todos os defensores de rede a aplicar o patch imediatamente e verificar indícios de comprometimento.

"A CISA está ciente de que atores de ameaça exploram esta vulnerabilidade de bypass de autenticação não autenticada para executar comandos arbitrários, roubar credenciais e exfiltrar dados", afirmou a agência.

A orientação inclui a necessidade de análises forenses de rede e memória para identificar indícios de exploração, já que a ferramenta de verificação de integridade da Ivanti pode não detectar tais atividades.

A Ivanti já corrigiu outras falhas zero-day exploradas nos últimos anos, incluindo bypass de autenticação (CVE-2023-46805), injeção de comando (CVE-2024-21887) e solicitação de recursos do lado do servidor (CVE-2024-21893).

Mais recentemente, foram aplicados patches para vulnerabilidades de RCE (CVE-2025-0282) e outra (CVE-2025-22457) explorada por grupos ligados à China.

Desde novembro de 2021, a CISA adicionou 36 vulnerabilidades da Ivanti à lista de ameaças exploradas ativamente, sendo 12 delas usadas em ataques de ransomware.

Um relatório da Blue Report 2026 mostra que, após o uso de credenciais válidas, apenas 37% das ações dos atacantes são bloqueadas, evidenciando limitações nas pontuações de prevenção.

O relatório analisou 338 milhões de simulações em ambientes de produção de clientes para medir defesas técnica por técnica.