Zero-day em gateway de acesso remoto rouba credenciais — e a checagem oficial não detecta

Em 13 de outubro, a CISA (agência de cibersegurança dos Estados Unidos) publicou alerta pedindo atualização imediata dos equipamentos Ivanti Connect Secure afetados pela falha CVE-2026-104935, um bypass de autenticação explorado como zero-day que permite a um atacante remoto e sem credenciais executar comandos arbitrários no appliance — com o objetivo de roubar credenciais e exfiltrar dados. A falha entrou no mesmo dia no catálogo de vulnerabilidades exploradas (KEV) do órgão. As versões afetadas incluem 25.1.1.1, 25.1.2.2 e 22.8R2.4 e anteriores. É o gateway de acesso remoto corporativo (VPN).

A fabricante fala em "exploração limitada", mas a investigação da Volexity, que reportou a falha, descreve algo mais incômodo: um ator rastreado como UTA0576 encadeia a CVE-2026-104935 com outras duas falhas desde pelo menos 3 de outubro, chegando a execução de código como root em equipamentos totalmente atualizados. E o detalhe que muda a resposta: não houve malware nem web shell — cada comando era reexecutado na memória, e os logs foram adulterados, o que faz a própria ferramenta oficial de checagem de integridade do fabricante não encontrar vestígio da invasão. Uma terceira falha da mesma cadeia ainda estava sem correção no dia do alerta. O Shadowserver rastreia mais de 5.500 instâncias desse produto expostas na internet.

Fonte: CISA — CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure (13/10/2026) · BleepingComputer — Ivanti warns of Connect Secure zero-day exploited in attacks (13/10/2026)

Não é caso isolado: a CISA já catalogou 36 vulnerabilidades da Ivanti como exploradas desde novembro de 2021, e 12 delas também foram usadas por grupos de ransomware. É o padrão do setor — o equipamento de borda é alvo preferencial porque quem passa por ele carrega credenciais, sessões e tokens que abrem a porta dos sistemas internos, inclusive os que executam ação crítica. E a versão 22.8 do produto chega ao fim de vida em 31/01/2027: depois disso, sem correção, só mitigação.

O que qualquer organização com acesso remoto deveria testar e monitorar:

• Inventário da borda: quais equipamentos de acesso remoto respondem na internet, em que versão, e quantos estão em fim de vida.
• Patch e mitigação: aplicar a atualização imediatamente; onde não for possível, tirar o equipamento do acesso direto à internet ou restringir o acesso por regras estritas.
• Assumir o comprometimento de credenciais: rotacionar credenciais e chaves de quem passou pelo gateway e revisar sessões ativas — credencial roubada no acesso remoto entra como usuário legítimo no resto do ambiente.
• Forense que não dependa da checagem do fabricante: análise de memória e revisão dos logs de autenticação, sabendo que os logs podem ter sido adulterados.
• Detecção pós-autenticação: comportamento anômalo de quem entrou legitimamente, criação de contas e saída de dados.

O que separa uma organização da outra não é ter o patch no dia zero: é saber o que está exposto, ter plano de mitigação sem patch e conseguir provar depois o que aconteceu.