VPN Ivanti Connect Secure: zero-day dá root sem senha

A Ivanti confirmou em 13 de outubro exploração ativa de uma falha de autenticação falsificável (CVE-2026-104935, CVSS 8,6) no Connect Secure, o gateway de VPN que sucedeu o antigo Pulse Connect Secure. A Volexity rastreia o ataque desde 3 de outubro: um grupo que chama de UTA0576 encadeou essa falha com uma segunda vulnerabilidade de execução remota de comando e uma terceira, ainda sem correção, para rodar comandos como root, sem autenticação, em appliances totalmente atualizados.

Quem é afetado

A falha atinge três linhas de código do Ivanti Connect Secure:

• 22.8R2.4 e versões anteriores — corrigida na 22.8R2.5;
• 25.1.1.1 e anteriores — corrigida na 25.1.1.2;
• 25.1.2.2 e anteriores — corrigida na 25.1.3.0 e na 25.1.3.1.

Versões 22.7.x e anteriores não são afetadas, segundo a Ivanti. O bug de autenticação mora no welcome.cgi; o de execução de comando, no wu.cgi — e os dois juntos já bastam para rodar comando como root sem senha.

O que fazer agora

1. Aplique a versão corrigida (22.8R2.5, 25.1.1.2 ou 25.1.3.1) fora do ciclo normal de patch. A Ivanti e a Rapid7 recomendam tratar isso como emergência, não como manutenção programada.
2. Não confie só no Integrity Checker Tool da Ivanti: a Volexity confirma que a ferramenta não detectou essa cadeia de exploração em nenhum dos casos que investigou.
3. Procure nos logs requisições a /dana-na/auth/url_default/welcome.cgi com o cabeçalho X-DSCGI-PATH apontando para wu.cgi ou para /home/runtime/tmp/, e qualquer divergência entre o caminho da URL e o do cabeçalho.
4. Audite /tmp/ por artefatos de pós-exploração e investigue movimento lateral a partir do appliance de VPN. O grupo já foi flagrado consultando AD/LDAP, extraindo senhas LAPS e chaves BitLocker, e rodando Kerberoasting e password spraying a partir do ponto de entrada.
5. Se houver indício de comprometimento, siga o procedimento de recuperação publicado pela Ivanti e faça perícia de rede e memória — o invasor não deixa malware nem webshell; os comandos saem só por requisição HTTPS do próprio exploit, e ele apaga rastro no log.

Prazo

A CISA incluiu a CVE-2026-104935 no catálogo KEV no mesmo dia da publicação e determinou que agências federais americanas corrijam e concluam a triagem forense até 16 de outubro de 2026 — uma janela de três dias. Quem opera o Connect Secure fora do governo dos EUA não tem esse prazo formal, mas a referência vale: a exploração já está em curso desde o início do mês.

Falta corrigir a terceira falha da cadeia, de escalonamento de privilégio no broker dsinvoked ao processar dados do DSCache. A Ivanti ainda não divulgou CVE nem data para esse patch — só disse que ele vem “nas próximas semanas”. Até lá, a falha continua disponível para quem já obteve acesso inicial pela CVE-2026-104935.

Perguntas frequentes

O ataque deixa rastro fácil de achar?
Não. O UTA0576 não larga malware nem webshell — os comandos chegam direto pela requisição HTTPS do próprio exploit, e o grupo foi visto adulterando log para cobrir a atividade.

Atualizar para a versão corrigida resolve tudo?
Resolve a autenticação falsificável e a execução remota de comando. A escalada de privilégio pelo dsinvoked segue sem correção — isoladamente ela não dá acesso inicial, mas continua servindo a quem já entrou.

O Integrity Checker Tool da Ivanti detecta essa invasão?
Não, segundo a Volexity. Quem suspeita de comprometimento precisa de perícia de rede e memória, não só da ferramenta nativa do appliance.

Conclusão

Com patch disponível desde 13/10 e exploração documentada desde 3/10, a distância entre divulgação e ataque automatizado contra VPN corporativa voltou a ser medida em dias, não semanas. Priorize o Connect Secure na fila de patch desta semana e trate qualquer appliance exposto à internet como potencialmente já visitado até provar o contrário.