Um atacante encadeou três falhas zero day no Ivanti Connect Secure para executar comandos como root sem fazer login. O equipamento invadido estava com todas as atualizações em dia, rodando a versão 22.8R2.4, quando a exploração começou em 3 de outubro.
A Volexity, que descobriu o caso e reportou as falhas à fabricante, rastreia o responsável como UTA0576 e avaliou com baixa confiança que a motivação é criminal, e não espionagem. A Ivanti confirmou em 13 de outubro ter conhecimento de exploração limitada.
As duas primeiras falhas, um desvio de autenticação e uma execução remota de código, foram registradas juntas sob o CVE-2026-104935, com nota 8.6 na escala CVSS. Combinadas, permitem rodar código como o usuário cgi-server do equipamento.
A terceira é uma elevação de privilégio que leva esse acesso a root. No dia da divulgação ela ainda não tinha correção, e a fabricante informou que o reparo sairia em uma versão futura, nas próximas semanas.
O registro do CVE aponta como afetadas as versões anteriores à 25.1.3.0. As versões 22.8R2.5, 25.1.3.0 e 25.1.3.1 constam como não afetadas, assim como a 22.7R2.14 e anteriores.
O verificador de integridade que a Ivanti recomenda não detectou a cadeia no caso analisado. O exploit altera o código de biblioteca apenas em memória e devolve ao lugar os dados de configuração que modifica. Confirmar um comprometimento exige perícia de rede e de memória.
No caso investigado, o invasor roubou credenciais armazenadas, incluindo as de domínio LDAP, procurou senhas no Active Directory e disparou password spraying. Não deixou backdoor nem web shell. A CISA classificou a exploração como ativa e o impacto técnico como total.
