Uma falha de bypass de autenticação recém-divulgada no Ivanti Connect Secure já está sendo usada em ataques, e a CISA está pedindo que as organizações ajam rapidamente. Rastreada como CVE-2026-104935, a falha é classificada como de alta gravidade, e um analista citado na cobertura do Cyber Daily a descreve como "incrivelmente simples" de explorar. Se sua organização utiliza esse gateway VPN, o patch para o zero-day do Ivanti Connect Secure deve ir para o topo da sua lista.

Os detalhes públicos ainda são limitados, então este post se atém ao que foi reportado e foca em passos práticos que você pode tomar.

O que é o CVE-2026-104935 e Por Que Ele Está Sendo Explorado

O CVE-2026-104935 é um bypass de autenticação no Ivanti Connect Secure. Em termos simples, um bypass de autenticação permite que um atacante contorne a etapa de login que deveria manter invasores afastados de um sistema. Em vez de roubar uma senha ou enganar um usuário, o atacante simplesmente pula a verificação.

Dois detalhes explicam por que isso está chamando atenção. Primeiro, a falha é descrita como um zero-day que os atacantes já miravam. Segundo, um analista a chamou de "incrivelmente simples" de explorar. Falhas simples que não exigem credenciais e pouca habilidade tendem a se espalhar rapidamente, porque mais atacantes podem usá-las e a varredura automatizada se torna viável.

A CISA pediu ação rápida. O artigo fonte não nos fornece mais especificidades técnicas, como números de versões afetadas ou identidade dos atacantes, então consulte o aviso oficial da Ivanti para esses detalhes em vez de confiar em resumos de segunda mão.

Seu Gateway VPN Está Afetado? Como Verificar Sinais de Comprometimento

Comece pelo básico: confirme se você utiliza o Ivanti Connect Secure, incluindo appliances antigos ou esquecidos em escritórios remotos, ambientes de teste ou implantações em nuvem. Gateways não gerenciados costumam ser os que ficam sem patch.

Depois, compare sua versão instalada com as versões listadas no aviso da Ivanti. Se você estiver em uma faixa afetada, assuma que o dispositivo está em risco até ser atualizado.

Como os ataques estão supostamente em andamento, apenas aplicar o patch pode não ser suficiente. Um bypass que foi explorado antes de existir uma correção pode ter deixado vestígios. Medidas razoáveis incluem:

  • Revisar logs de autenticação e de administração em busca de logins inesperados, especialmente de endereços IP desconhecidos ou em horários incomuns.
  • Procurar por contas novas ou alteradas, mudanças de configuração ou arquivos desconhecidos no appliance.
  • Executar qualquer ferramenta de verificação de integridade fornecida pelo fabricante e seguir suas orientações sobre o que os resultados significam.
  • Verificar se a interface de gerenciamento está acessível pela internet pública quando não precisa estar.

Se encontrar algo suspeito, trate como um incidente: isole o dispositivo, preserve os logs e siga as orientações do fabricante e da CISA antes de colocá-lo online novamente.

Passos de Aplicação de Patch e Mitigação Seguindo a Orientação da CISA

A instrução mais clara é aplicar a correção do fabricante assim que estiver disponível para sua versão. O pedido de ação rápida da CISA sinaliza que esperar por uma janela de manutenção rotineira é uma escolha arriscada aqui.

Uma sequência prática é assim:

  1. Aplique a atualização. Instale o patch fornecido pela Ivanti ou siga qualquer mitigação provisória que o fabricante publique se ainda não houver correção disponível para sua versão.
  2. Restrinja a exposição. Limite o acesso de gerenciamento a redes confiáveis e, quando possível, coloque controles adicionais na frente do gateway.
  3. Rotacione credenciais se houver suspeita de comprometimento. Isso inclui contas locais e quaisquer segredos armazenados no appliance ou acessíveis através dele.
  4. Monitore depois. Mantenha o registro elevado por um período após a aplicação do patch, já que uma intrusão anterior pode não aparecer imediatamente.
  5. Documente e reporte. Registre o que encontrou e fez, e siga quaisquer obrigações de reporte aplicáveis à sua organização.

Para as versões exatas de patch e passos de mitigação, confie diretamente na Ivanti e na CISA, já que essas instruções podem ser atualizadas conforme a situação evolui.

Por Que Appliances VPN São Alvos de Alto Valor

Gateways VPN ficam na borda de uma rede, voltados para a internet por design. Isso os torna acessíveis por qualquer pessoa, e um comprometimento bem-sucedido pode oferecer uma rota direta para sistemas internos. Atacantes também gostam deles porque esses dispositivos costumam operar com privilégios amplos e podem lidar com credenciais de muitos usuários.

Appliances de borda também podem ser mais difíceis de monitorar do que laptops ou servidores, já que podem não suportar os mesmos agentes de segurança. Essa lacuna dá aos atacantes mais tempo para operar sem serem notados. O padrão faz parte de uma mudança mais ampla em que atacantes visam a infraestrutura que protege o acesso, um tema que também aparece em nossa análise de como a IA está passando de assistente do atacante a operador autônomo em campanhas de espionagem recentes, onde velocidade e escala favorecem o atacante.

O Que Isso Significa Para Você

Se você administra o Ivanti Connect Secure, esta é uma tarefa urgente: identifique seus dispositivos, aplique o patch e verifique sinais de comprometimento. Não assuma que um log silencioso significa um dispositivo limpo.

Se você é funcionário ou usuário remoto de uma VPN corporativa, não pode aplicar o patch no gateway sozinho, mas pode perguntar à sua equipe de TI se ele está afetado e se a correção foi aplicada. Use senhas fortes e únicas e autenticação multifator em suas contas, e reporte quaisquer prompts de login inesperados ou alertas de conta. Observe que um bypass de autenticação pode contornar logins, então esses hábitos reduzem o risco mas não substituem a aplicação de patches.

Se você usa um serviço de VPN de consumidor, este problema específico diz respeito ao produto empresarial da Ivanti, não a aplicativos de consumidor. Ainda assim, é um lembrete útil de que qualquer sistema de acesso remoto voltado para a internet precisa de atualizações regulares.

Principais Conclusões

  • Trate o patch para o zero-day do Ivanti Connect Secure referente ao CVE-2026-104935 como urgente, já que os ataques supostamente já estão acontecendo.
  • Confirme quais dos seus gateways utilizam o Ivanti Connect Secure e verifique suas versões em relação ao aviso da Ivanti.
  • Revise logs e a integridade do appliance em busca de sinais de comprometimento, mesmo após aplicar o patch.
  • Siga as orientações da CISA e as instruções oficiais da Ivanti conforme forem atualizadas.
  • Aproveite este momento para revisar como sua organização protege a infraestrutura de acesso remoto, incluindo a exposição de interfaces de gerenciamento e o monitoramento de dispositivos de borda.

Aplique o patch primeiro, investigue depois e continue observando: essa ordem lhe dá a melhor chance de ficar à frente deste caso.