A Ivanti lançou atualizações de segurança para mais duas falhas em seu gateway de acesso remoto Connect Secure (ICS), e a empresa afirma que elas foram encadeadas em ataques zero-day desde pelo menos 1º de outubro. Se sua organização utiliza esse appliance, este patch para a falha zero-day do Ivanti Connect Secure é um dos que devem ser priorizados.

Os detalhes disponíveis até agora são limitados, portanto este post se atém ao que foi reportado e foca em medidas práticas para administradores e funcionários que dependem do gateway.

O que a Ivanti corrigiu e quando os ataques começaram

De acordo com o relatório, a Ivanti emitiu atualizações cobrindo duas vulnerabilidades adicionais no Connect Secure, o gateway de acesso remoto que muitas organizações usam para permitir que a equipe acesse sistemas internos de fora do escritório. As falhas foram exploradas como zero-day, o que significa que os atacantes as utilizavam antes de existir uma correção.

O detalhe crucial da linha do tempo é que os ataques vêm ocorrendo desde pelo menos 1º de outubro. A expressão "pelo menos" importa: ela indica que esta é a atividade mais antiga confirmada até agora, não necessariamente a primeira. Organizações que estavam executando appliances sem patch durante esse período devem considerar a possibilidade de terem sido expostas, em vez de assumir que a correção sozinha encerra o assunto.

As falhas também foram encadeadas, o que significa que os atacantes as combinaram em vez de depender de um único bug. Esse detalhe molda como os defensores devem pensar sobre o risco.

Por que exploits encadeados em gateways VPN são tão perigosos

Um gateway de acesso remoto fica na borda de uma rede. Ele é acessível pela internet por design, e é confiável para conectar usuários externos a recursos internos. Essa combinação o torna um alvo de alto valor: um comprometimento bem-sucedido pode oferecer um ponto de apoio em um local que é tanto exposto quanto bem conectado.

O encadeamento torna isso mais sério. Uma vulnerabilidade pode dar ao atacante acesso limitado, enquanto uma segunda pode estender esse acesso ou transformá-lo em algo mais poderoso. Usadas em conjunto, duas falhas que poderiam ser gerenciáveis individualmente podem somar um problema muito maior. Defensores que fazem triagem analisando cada bug isoladamente podem subestimar o impacto no mundo real.

Isso também faz parte de um padrão mais amplo. Nossa cobertura anterior sobre a burla de autenticação do Ivanti Connect Secure rastreada como CVE-2026-104935 descreveu outra falha no mesmo produto que já estava sendo usada em ataques. Ver uma segunda rodada de zero-days no mesmo gateway reforça por que esses appliances merecem atenção redobrada.

Como verificar se o gateway VPN do seu trabalho está corrigido

Se você administra o Connect Secure, comece pelo básico:

  • Confirme a versão do seu appliance. Verifique a versão atualmente em execução e compare-a com as versões corrigidas listadas no aviso de segurança da Ivanti para essas duas falhas.
  • Revise seu histórico de atualizações. Verifique se a atualização foi de fato aplicada e se o appliance foi reiniciado na versão corrigida, não apenas baixada.
  • Volte a 1º de outubro. Como os ataques datam de pelo menos esse dia, revise os logs e quaisquer resultados de verificação de integridade desse período em diante.
  • Verifique correções relacionadas. Certifique-se de que patches anteriores, incluindo o da questão CVE-2026-104935, também estejam aplicados.

Se você é funcionário e não administrador, não pode aplicar o patch no appliance por conta própria, mas pode perguntar à sua equipe de TI ou segurança se o gateway Connect Secure recebeu a atualização mais recente. Uma pergunta curta e direta é razoável e frequentemente bem-vinda.

O que fazer se seu appliance Connect Secure não estiver atualizado

Aplique os patches assim que seu processo de mudança permitir. Como essas falhas estão sendo exploradas ativamente, esperar por uma janela de manutenção de rotina envolve risco real.

Enquanto você se prepara para atualizar, considere limitar quem pode acessar as interfaces de gerenciamento do appliance e seguir qualquer orientação de mitigação provisória fornecida pela Ivanti. Após aplicar o patch, execute as ferramentas de verificação de integridade do fornecedor, se disponíveis, e procure por sessões incomuns, alterações inesperadas de configuração ou contas que você não reconhece. Se encontrar sinais de comprometimento, trate como um incidente: isole o appliance, preserve os logs e envolva sua equipe de resposta a incidentes antes de redefinir credenciais que possam ter passado pelo gateway.

O que isso significa para você

Para administradores, a mensagem é direta: verifique sua versão, aplique o patch e investigue o período desde 1º de outubro. Um appliance corrigido não é automaticamente um appliance limpo se ele foi exposto antes da atualização.

Para usuários cotidianos de uma VPN corporativa, não há software para instalar em seu próprio dispositivo para esta questão, já que o componente vulnerável é o gateway. Ainda assim, é um bom momento para usar senhas fortes e exclusivas, habilitar autenticação multifator onde for oferecida e relatar qualquer coisa estranha, como prompts de login inesperados ou alertas de acesso.

Principais conclusões

  • A Ivanti lançou atualizações para mais duas falhas no Connect Secure encadeadas em ataques zero-day desde pelo menos 1º de outubro.
  • Gateways de acesso remoto são alvos atrativos porque estão voltados para a internet e são confiáveis.
  • Falhas encadeadas podem ser mais prejudiciais do que qualquer um dos bugs isoladamente.
  • Confirme a versão do seu appliance, aplique o patch zero-day do Ivanti Connect Secure agora e revise a atividade a partir de 1º de outubro.
  • Para contexto sobre o padrão em andamento, leia nosso relatório anterior sobre a burla de autenticação CVE-2026-104935.

Se você usa ou administra o Ivanti Connect Secure, verifique sua versão hoje e aplique as atualizações sem demora.