CISA Adiciona Duas Falhas VPN Ivanti ao Catálogo de Vulnerabilidades Exploradas como Prazo Federal para as Terras de Erro Crítico Hoje
A Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA) atualizou seu alerta de segurança em 30 de outubro para adicionar duas vulnerabilidades no aparelho VPN empresa segura Ivanti Connect, CVE-2026-111357 e CVE-2026-118527, ao seu conhecido Catálogo de Vulnerabilidades Exploradas (Kev) — e o prazo de remediação que estabeleceu agências civis federais para o crítico é hoje, 2 de novembro. Ivanti Connect Secure é amplamente utilizado para acesso remoto por empresas e agências governamentais, e CISA diz que os atores ameaça estão explorando ativamente as falhas.
De acordo com o alerta da CISA, as três falhas em conjunto: combinadas com CVE-2026-104935, que foi adicionado ao catálogo em 13 de outubro, eles permitem que um atacante remoto, não autenticado para executar comandos arbitrários, roubar credenciais e exfiltrar dados. As versões afetadas são Connect Secure 25.1.1.2 e anteriores, 25.1.2.2 e anteriores, e 22.8R2.5 e anteriores. A empresa de segurança Volexity diz que um ator que segue como UTA0576 explorou a cadeia desde o início de outubro, em um caso invadindo um aparelho totalmente remendado, ganhando acesso raiz e indo direto para credenciais do Active Directory.
Das duas falhas recentemente listadas, CVE-2026-111357 é um problema de autenticação em falta avaliado CVSS 8.8 que permite que um atacante autenticado local aumente para raiz; seu prazo federal é 2 de novembro. CVE-2026-118527, um problema de identificação previsível avaliado CVSS 4.3, permite que um atacante autenticado remotamente envie arquivos para um local conhecido no disco; seu prazo é 13 de novembro. Ivanti lançou construções fixas 22.8R2.6 e 25.1.1.3 em 29 de outubro.
CISA insta todas as organizações que executam aparelhos afetados para atualizar para a versão mais recente imediatamente. Também adverte que a ferramenta Ivanti's Integrity Checker Tool pode não detectar a exploração do CVE-2026-104935 porque os comandos do atacante executam em memória; organizações que suspeitam de um compromisso precisam de rede e memória forense e devem seguir os procedimentos de recuperação de Ivanti, redefinindo senhas de conta, certificados e chaves. CISA também observa que Connect Secure versão 22.8 atinge o fim da vida em 31 de janeiro de 2027.
Fonte: GSM · Estados Unidos (Edição em inglês · Edição original em chinês)
Foto: 美国国土安全部总部（圣伊丽莎白园区）航拍。照片：Michael Hvozda／美国海岸警卫队，公共领域，经 Wikimedia Commons。
