A Ivanti liberou correções para mais duas falhas no Connect Secure, o equipamento que leva o funcionário para dentro da rede da empresa quando ele trabalha fora do escritório. As duas brechas receberam os códigos CVE-2026-111357 e CVE-2026-118527 e não estavam sendo usadas de forma isolada: criminosos as combinavam com uma terceira, a CVE-2026-104935, que o fabricante havia corrigido no mês anterior. Esse encadeamento já vinha sendo explorado desde pelo menos 1º de outubro, segundo a reportagem publicada pelo BleepingComputer.
Se você responde por uma clínica, um escritório de contabilidade, uma loja ou uma fábrica, o nome do produto pouco importa. Importa o papel que ele cumpre: é por esse tipo de equipamento que entram o home office, o representante de vendas, o contador externo e o técnico que dá suporte ao sistema de gestão. Quando o portão do acesso remoto tem defeito, o invasor não precisa enganar funcionário com e-mail falso nem descobrir a senha de alguém — ele passa pela entrada principal como se fosse de casa, e o expediente segue normal.
O que aconteceu, sem jargão
A exploração foi identificada pela empresa de segurança Volexity, que acompanha um grupo apelidado de UTA0576. Ao juntar as três falhas, esse grupo rodava comandos no equipamento com o privilégio máximo, o do usuário root, sem precisar apresentar login e senha — e fazia isso em aparelhos que estavam com todas as atualizações então disponíveis. Das duas brechas agora corrigidas, a CVE-2026-111357 é de elevação de privilégio e foi classificada como de alta gravidade; a CVE-2026-118527 permite que um atacante já autenticado grave arquivos no aparelho sem correção.
O método chama mais atenção do que as siglas. Pelo relato da Volexity, nada de vírus nem de web shell deixado para trás: em vez de plantar um programa que depois seria encontrado, os invasores voltavam a explorar a falha a cada comando que queriam executar e alteravam os registros do aparelho para apagar o próprio rastro, escapando da ferramenta de verificação de integridade oferecida pelo fabricante. Traduzindo: o antivírus não tinha arquivo nenhum para achar, e o log — a câmera de segurança do mundo digital — foi editado por quem invadiu.
A Defused, de inteligência de ameaças, confirmou o relato e disse ter visto os primeiros sinais de ataque contra a CVE-2026-104935 a partir de 1º de outubro; a Volexity cita o dia 3 como início do encadeamento que acompanhou. Já a CISA, agência de cibersegurança do governo dos Estados Unidos, incluiu a falha no catálogo de vulnerabilidades sob exploração ativa e deu prazo para os órgãos federais atualizarem seus sistemas. A Ivanti explicou que a correção daquela primeira brecha já estava em testes de qualidade quando a exploração apareceu e que preferiu não segurar a entrega, para fechar logo o caminho principal do ataque.
Mais de cinco mil portões expostos à internet
O Shadowserver, que varre a internet em busca de aparelhos acessíveis de qualquer lugar, contabiliza mais de 5.000 instâncias do Connect Secure respondendo à rede pública. Não há informação sobre quantas delas já foram protegidas contra os ataques em andamento. Cada um desses equipamentos é a porta de uma organização — e a conta de quem não atualizou continua aberta.
O histórico explica por que essa categoria de produto é tão visada. Desde novembro de 2021, a CISA já apontou 38 vulnerabilidades da Ivanti como exploradas de fato, e 12 delas apareceram em ataques de ransomware. Em janeiro de 2024, o fabricante corrigiu uma injeção de comando e um desvio de autenticação; duas semanas depois, uma falha do tipo SSRF. Em janeiro de 2025 saiu a correção de uma execução remota de código e, no mesmo ano, de outra que vinha sendo usada por atacantes ligados ao Estado chinês desde meados de março. Concentrador de acesso remoto é alvo preferido porque oferece caminho curto para dentro da rede e para os dados dos clientes.
Três perguntas que o dono da empresa deveria fazer hoje
- Quais equipamentos da minha empresa respondem à internet? Firewall, roteador, gravador de câmeras, servidor de arquivos publicado, portal do sistema de gestão. Sem essa lista não existe controle.
- Quem atualiza esses equipamentos, e quando? Correção de borda não é tarefa para quando sobrar tempo: precisa de responsável com nome e de janela de manutenção combinada com a operação.
- Se alguém entrasse por ali agora, eu saberia? Nesse caso os invasores mexeram no log do próprio aparelho. Quem guarda registro apenas dentro do equipamento invadido não tem como reconstruir a história depois.
O que fazer com o acesso remoto da sua empresa
- Levante o inventário da borda. Marca, modelo, versão de firmware e finalidade de cada equipamento publicado para fora.
- Aplique as correções do fabricante com data marcada. E acompanhe os avisos de segurança de quem fabricou o seu equipamento, porque é ali que a notícia chega primeiro.
- Reduza a exposição. Painel de administração nunca aberto para o mundo, acesso liberado só a origens conhecidas e serviço que não precisa ser público fora da internet: é disso que trata um projeto de firewall e segurança de borda.
- Exija segundo fator no acesso remoto e revise quem ainda tem permissão: ex-funcionário, fornecedor antigo, conta de teste que ninguém apagou.
- Guarde os registros fora do equipamento e mantenha monitoramento de rede 24 horas junto com backup e restauração testada, para que alguém perceba o comportamento estranho enquanto ele acontece e para que exista um ponto de volta se algo for destruído.
Correção é rotina, não emergência
Guarde o que a própria Ivanti relatou: quando a exploração veio à luz, a correção da primeira falha já estava em teste e a decisão foi liberá-la de imediato, mesmo havendo outras peças do ataque a tratar. Esse é o ciclo de qualquer software, do sistema da clínica ao caixa da loja — a brecha aparece, a correção sai e alguém precisa aplicá-la. O que separa a empresa que atravessa o ciclo sem sobressalto daquela que descobre o problema pelo telefone do cliente são quatro itens: inventário atualizado, janela de manutenção combinada, alguém de plantão olhando os alertas e um caminho definido para quando algo der errado. Nenhum deles depende de orçamento de multinacional.
Fonte: BleepingComputer — Ivanti patches two more Connect Secure zero-days chained in attacks, novembro de 2026.
A Ragnatela é especialista em firewall e em cibersegurança: cuidamos do projeto, da atualização e do monitoramento dos equipamentos que ficam na borda da rede da sua empresa, com registro guardado fora do aparelho e cópia de segurança com restauração testada. Se hoje você não sabe quais equipamentos da sua empresa respondem à internet, fale com a equipe da Ragnatela e levantamos isso junto com você.
Perguntas frequentes
Minha empresa não usa Ivanti. Esse alerta vale para mim?
Vale. O caso é sobre equipamento de borda, aquele que publica o acesso remoto da empresa para a internet. Pode ser de outro fabricante, mas a pergunta é a mesma: ele está atualizado e alguém acompanha os avisos de segurança dele?
Como saber se o nosso acesso remoto está atualizado?
É preciso levantar marca, modelo e versão de firmware de cada equipamento publicado para fora e comparar com a versão indicada pelo fabricante. Sem esse inventário, a resposta é um palpite.
O antivírus resolve esse tipo de ataque?
Nesse caso não haveria arquivo para o antivírus encontrar, porque os invasores não deixaram vírus nem web shell no equipamento. Por isso contam tanto o registro guardado fora do aparelho e o monitoramento de quem olha o comportamento da rede.
Suspeitamos de invasão no equipamento de borda. O que fazer primeiro?
Isole o equipamento do acesso externo, preserve os registros que estiverem guardados fora dele, aplique a correção do fabricante, troque senhas e chaves de acesso e acione quem cuida da sua rede antes de voltar o serviço ao ar.
