Seguir A Ivanti divulgou o CVE-2026-104935, uma vulnerabilidade de alta gravidade no Ivanti Connect Secure (ICS) que está sendo ativamente explorada em ataques reais. A falha possui uma pontuação CVSS de 8.6 e permite que atacantes não autenticados contornem a autenticação e executem comandos arbitrários em dispositivos VPN vulneráveis.
A vulnerabilidade veio à tona após a Volexity investigar um dispositivo Ivanti Connect Secure comprometido que estava totalmente atualizado na época. O ator de ameaça previamente desconhecido, identificado como UTA0576, encadeou o bypass de autenticação e a execução remota de código cobertos pelo CVE-2026-104935 com uma escalada de privilégios zero-day separada para alcançar a execução de comandos no nível root sem autenticação.
A campanha observada demonstra os riscos de segurança associados a vulnerabilidades em infraestruturas VPN expostas à internet. Após obter privilégios de root, os atacantes visaram credenciais, dados do Active Directory, senhas LAPS, chaves de recuperação BitLocker e outras informações sensíveis que poderiam apoiar o movimento lateral mais profundo no ambiente da vítima.
A Ivanti confirmou em 13 de outubro de 2026 que estava ciente de uma exploração limitada em estado selvagem e instou as organizações que executam as versões afetadas a agirem imediatamente. CISA subsequentemente adicionou a vulnerabilidade ao seu catálogo de Vulnerabilidades Exploradas Conhecidas.
As equipes de segurança podem aproveitar a Plataforma de Inteligência de Detecção Nativa de IA da SOC Prime para acelerar a investigação de ameaças emergentes e operacionalizar conteúdo de detecção em ambientes SIEM, EDR, XDR e Data Lake.
O Prime Architect pode ajudar ainda mais os engenheiros de detecção ao transformar a inteligência de ameaças emergentes em lógica de detecção, consultas de caça e regras específicas do ambiente, enquanto o Prime Hunt permite investigações retrospectivas em toda a telemetria organizacional.
Análise do CVE-2026-104935
O CVE-2026-104935 afeta versões específicas do Ivanti Connect Secure e combina duas fraquezas usadas por atacantes para passar de uma solicitação web não autenticada para a execução arbitrária de código no contexto da conta cgi-server.
A vulnerabilidade é categorizada como uma bypass de autenticação por spoofing (falsificação) sob CWE-290. De acordo com a Ivanti, a questão pode ser explorada remotamente sem credenciais ou interação do usuário e possui uma pontuação CVSS de 8.6.
A Volexity reconstruiu a cadeia de exploração enquanto investigava um dispositivo rodando o Ivanti Connect Secure 22.8R2.4, Build 19097. O dispositivo foi considerado totalmente atualizado quando a atividade maliciosa começou em 3 de outubro de 2026. Os pesquisadores começaram a investigar o incidente em 5 de outubro e trabalharam subsequentemente com a Ivanti para analisar a memória, imagens de disco e despejos de núcleo do sistema afetado.
A primeira etapa abusa do comportamento de roteamento de requisições associado ao endpoint /dana-na/auth/url_default/welcome.cgi acessível ao público. Os atacantes podem fornecer um cabeçalho X-DSCGI-PATH HTTP apontando para um recurso CGI que normalmente exigiria autenticação.
A decisão de segurança é baseada na URL pública enquanto o cabeçalho controla o script real que recebe a requisição. Esta discrepância permite que um atacante roteie requisições não autenticadas para funcionalidades CGI protegidas.
UTA0576 usou esse mecanismo para alcançar wu.cgi, um manipulador de upload que continha a segunda vulnerabilidade. O atacante submeteu um script Perl malicioso disfarçado com uma extensão .zip. O manipulador escreveu temporariamente o conteúdo enviado para /home/runtime/tmp/ antes de verificar se o arquivo era um arquivo ZIP válido.
Embora um arquivo inválido fosse posteriormente deletado, os atacantes exploraram o curto período entre a criação e a remoção do arquivo. Requisições paralelas referenciando o arquivo temporário através do X-DSCGI-PATH permitiram que o payload Perl fosse executado antes da exclusão.
O payload inicial lançou o Bash e depois uma etapa Python codificada que existia principalmente na memória. Neste ponto, o atacante obteve execução de código como a conta cgi-server de menor privilégio.
Para escalar privilégios, UTA0576 encadeou um zero-day separado envolvendo o serviço privilegiado dsinvoked e a loja de configuração DSCache. Os atacantes modificaram a cópia em memória de uma biblioteca Ivanti, alterararam a configuração de uma tarefa de manutenção privilegiada e fizeram com que o dsinvoked executasse código Perl controlado pelo atacante como root.
Após conseguir o acesso root, o exploit restaurou a configuração modificada em memória e o estado da biblioteca. Ele também removeu entradas relevantes dos logs de debug do Ivanti e dos logs de auditoria do Linux, reduzindo significativamente os artefatos forenses disponíveis no disco.
Este comportamento é especialmente significativo porque a Ferramenta de Verificação de Integridade da Ivanti se concentra em identificar mudanças inesperadas de arquivos. Como partes deste exploit modificam o código apenas em memória e restauram alterações de configuração temporárias depois, a Volexity descobriu que o ataque poderia evitar a detecção pela ferramenta.
Os atacantes também não instalaram um shell web persistente convencional ou backdoor de primeira etapa. Em vez disso, UTA0576 executou repetidamente toda a cadeia de exploração sempre que um novo comando precisava ser executado e retornou a saída do comando diretamente através do tráfego HTTPS do exploit.
A atividade pós-exploração se concentrou fortemente em credenciais e Active Directory. A Volexity observou os atacantes extraindo credenciais armazenadas no dispositivo VPN, consultando o Active Directory, buscando por senhas LAPS do Windows e chaves de recuperação BitLocker, realizando ataques de pulverização de senha, inspecionando logs de autenticação e coletando tráfego LDAP.
O ator de ameaça também usou ferramentas personalizadas Python e Kerberos para testar credenciais e acessar atributos de diretório sensíveis. Arquivos associados a reconhecimento e coleta de credenciais foram temporariamente alojados em /tmp/ antes da exfiltração e limpeza.
A atribuição permanece incerta. A Volexity rastreia o ator como UTA0576 e avalia com baixa confiança que sua motivação pode ser criminosa, em vez de espionagem. Os pesquisadores também avaliaram com confiança média que o ator pode ter usado grandes modelos de linguagem para auxiliar no desenvolvimento do exploit ou em atividades pós-exploração, com base nas características operacionais da intrusão.
Não foi identificado nenhum PoC do CVE-2026-104935 amplamente disponível e validado nas fontes primárias revisadas no momento da publicação. No entanto, a Volexity publicou detalhes técnicos substanciais sobre a cadeia de ataque, o que significa que as organizações devem supor que atores adicionais podem tentar reproduzir a técnica.
Para a detecção do CVE-2026-104935, os defensores devem monitorar altos volumes de requisições para /dana-na/auth/url_default/welcome.cgi, especialmente quando o cabeçalho X-DSCGI-PATH faz referência a outro recurso CGI ou a um arquivo temporário.
Mitigação do CVE-2026-104935
A Ivanti lançou correções para os componentes de bypass de autenticação e RCE cobertos pelo CVE. As organizações que executam versões afetadas do Connect Secure devem atualizar imediatamente, em vez de depender exclusivamente de verificações de integridade.
A orientação de segurança de outubro da Ivanti identifica versões corrigidas em todos os ramos suportados, incluindo 22.8R2.5, 25.1.1.2, 25.1.3.0 e 25.1.3.1, dependendo da linha de código implantada. A Ivanti recomenda mover para o ramal 25.x assim que possível, pois a linha de código 22.x está se aproximando do fim da vida útil.
A vulnerabilidade separada de escalada de privilégio usada na cadeia de três dias-zero observada ainda não tinha sido corrigida quando a Volexity publicou sua análise em 13 de outubro. A Ivanti estava preparando um patch para um lançamento futuro. Isso torna a instalação das correções do CVE-2026-104935 especialmente importante, pois bloquear o bypass de autenticação inicial e o RCE impede que os atacantes atinjam o estágio necessário para explorar a escalada de privilégio local.
As organizações devem continuar executando a Ferramenta de Verificação de Integridade da Ivanti, conforme recomendado pelo fornecedor, mas não devem tratar um resultado limpo como evidência definitiva de que a exploração não ocorreu. A própria Ivanti recomenda combinar atualizações e verificações de integridade com monitoramento de rede, revisão de logs, controles de acesso e validação contínua dos dispositivos.
Para detectar a exploração do CVE-2026-104935, os defensores devem inspecionar a telemetria HTTP em busca de discrepâncias entre a URL solicitada e o valor do cabeçalho X-DSCGI-PATH. Os valores particularmente suspeitos observados pela Volexity incluem caminhos referenciando wu.cgi ou arquivos em /home/runtime/tmp/.
As equipes de segurança também devem inspecionar /tmp/ em busca de scripts ou artefatos de reconhecimento não explicados e investigar atividades inesperadas originadas do dispositivo VPN em direção ao Active Directory, serviços LDAP, infraestrutura DNS ou sistemas internos de autenticação.
Os IOCs conhecidos do CVE-2026-104935 do incidente investigado incluem o endereço IP controlado pelo atacante 108.165.147[.]64, atividade suspeita envolvendo /data/.icscap/ e requisições repetidas que visam o caminho exposto welcome CGI. Esses indicadores devem ser usados junto com a detecção comportamental, pois os atacantes podem facilmente girar a infraestrutura ou alterar os nomes de arquivos temporários.
As organizações que identificam sinais de comprometimento devem conduzir perícias de rede e memória em vez de depender exclusivamente do exame baseado em disco. Credenciais armazenadas ou acessíveis através do dispositivo devem ser consideradas potencialmente expostas, incluindo as credenciais de serviço LDAP, e devem ser rotacionadas após a contenção.
Os defensores devem investigar adicionalmente o Active Directory em busca de consultas LDAP suspeitas, pulverização de senhas, acesso a atributos de recuperação LAPS ou BitLocker, atividade anômala do Kerberos e movimento lateral originado do dispositivo VPN.
A CISA adicionou a falha ao seu catálogo de Vulnerabilidades Exploradas Conhecidas em 13 de outubro de 2026, estabelecendo um prazo de remediação em 16 de outubro para agências civis federais dos EUA aplicáveis. Isso confirma que as organizações devem tratar o patching como uma prioridade urgente em vez de esperar por uma exploração mais ampla.
A Plataforma de Inteligência de Detecção Nativa de IA da SOC Prime pode ajudar as equipes de segurança a operacionalizar essa inteligência de ameaças, caçar comportamentos relacionados e adaptar detecções para a telemetria de rede, identidade e endpoint disponível.
FAQ
O que é o CVE-2026-104935 e como ele funciona?
O CVE-2026-104935 é uma vulnerabilidade ativamente explorada no Ivanti Connect Secure que cobre uma cadeia de bypass de autenticação e execução remota de código. Os atacantes podem manipular o comportamento de roteamento de requisições para acessar um manipulador CGI protegido sem autenticação e explorar o manuseio temporário de arquivos para executar código malicioso como a conta cgi-server. Nos ataques observados, isso foi combinado com um zero-day de escalada de privilégios separado para obter acesso no nível root.
Quando o CVE-2026-104935 foi descoberto pela primeira vez?
A Ivanti declarou que sua equipe de segurança de produtos havia previamente identificado parte da vulnerabilidade e incluído proteção no lançamento 25.1.3.0 em julho de 2026. A Volexity descobriu independentemente a exploração ativa enquanto investigava atividades suspeitas em 5 de outubro, determinando que os ataques haviam começado em 3 de outubro. A Ivanti divulgou publicamente a vulnerabilidade e confirmou a exploração limitada em 13 de outubro de 2026.
Qual é o impacto do CVE-2026-104935 nos sistemas?
A exploração bem-sucedida permite que um atacante remoto não autenticado execute código em um dispositivo Ivanti Connect Secure afetado. Quando encadeado com a falha de escalada de privilégio separada observada pela Volexity, os atacantes podem obter privilégios de root. No incidente investigado, o UTA0576 roubou credenciais, consultou o Active Directory, procurou por senhas LAPS e chaves de recuperação BitLocker, capturou dados LDAP e se preparou para um potencial movimento lateral.
O CVE-2026-104935 ainda pode me afetar em 2026?
Sim. Dispositivos Ivanti Connect Secure vulneráveis que não foram atualizados permanecem em risco imediato porque a exploração foi confirmada no selvagem. A CISA adicionou a vulnerabilidade ao seu catálogo KEV, enquanto a Ivanti insta os clientes que executam versões afetadas a atualizarem sem demora.
Como posso me proteger do CVE-2026-104935?
Atualize o Ivanti Connect Secure para a versão corrigida aplicável imediatamente, continue a executar a Ferramenta de Verificação de Integridade e monitore o tráfego de rede e logs para comportamento suspeito de roteamento de requisições. Como o exploit observado pode minimizar os artefatos no disco, as organizações com suspeita de exposição devem realizar perícias de memória e rede e rotacionar credenciais potencialmente comprometidas. Os administradores devem continuar revisando as orientações do fornecedor para detalhes atualizados sobre o CVE-2026-104935, incluindo a correção pendente para a vulnerabilidade de escalada de privilégio separada.
