CVE-2026-104935 Exploração Ativa Vulnerabilidade no Ivanti Connect Secure — Alta

Nesta quarta-feira, 14 de outubro de 2026, a CVE-2026-104935 exploração ativa vulnerabilidade foi adicionada ao catálogo KEV da CISA, confirmando que atacantes já estão abusando de uma falha de bypass de autenticação por spoofing no Ivanti Connect Secure. A exploração remota e sem autenticação permite execução arbitrária de comandos, caracterizando um cenário zero-day com janela de proteção inexistente para milhares de organizações que dependem dessa solução como gateway de VPN e acesso remoto corporativo. O alerta é máximo: se a sua empresa opera Ivanti Connect Secure com exposição à internet, cada minuto sem ação representa risco concreto de invasão perimetral.

O ecossistema de ameaças está particularmente agressivo neste ciclo. Relatórios do The Hacker News e BleepingComputer publicados hoje também destacam o trojan bancário Hirudo para Android e uma exploração full-chain do Chrome construída em apenas seis dias com um modelo público da OpenAI. Soma-se a isso o patch recorde da Microsoft para 1.413 vulnerabilidades, incluindo um zero-day do Windows Shell classificado como CVE-2026-96951, igualmente sob exploração ativa. Ou seja, times de segurança enfrentam hoje múltiplas frentes simultâneas, e a prioridade número um deve ser a remediação do Ivanti Connect Secure.

Para líderes de TI, gestores de infraestrutura e analistas de SOC, o cenário é claro: um appliance de borda comprometido não afeta apenas a disponibilidade do acesso remoto; ele se torna o pivô inicial para movimentação lateral, roubo de credenciais, exfiltração de dados e potencial ransomware. A CISA já exige que agências federais apliquem a correção em prazo emergencial, mas empresas privadas de todos os portes devem tratar a falha como prioridade crítica imediata.

Na JRT Technology Solutions, nosso SOC monitora alertas CISA KEV em tempo real e já está notificando clientes com appliances Ivanti expostos. Neste artigo, você encontrará a análise técnica completa da CVE-2026-104935, os vetores de ataque, o impacto real para o negócio, os passos de mitigação e a verificação pós-patch — tudo o que sua equipe precisa para agir agora.

CVE-2026-104935 Exploração Ativa Vulnerabilidade: O que é a falha

A CVE-2026-104935 é uma vulnerabilidade de Authentication Bypass by Spoofing (CWE-290) no Ivanti Connect Secure. Em termos práticos, um atacante remoto não autenticado consegue falsificar componentes do processo de autenticação e se passar por um usuário legítimo ou por uma entidade confiável. A falha permite que o invasor contorne completamente os controles de identidade do appliance e, a partir daí, execute comandos arbitrários no sistema operacional subjacente.

Como o Ivanti Connect Secure é tipicamente exposto diretamente à internet para fornecer VPN SSL, portais de acesso remoto e integrações de identidade, a superfície de ataque é ampla. Não há necessidade de interação do usuário, nem de credenciais válidas: o exploit pode ser automatizado em varreduras de massa, o que amplifica o risco de comprometimento em escala global. A CISA confirmou a inclusão no catálogo de vulnerabilidades exploradas conhecidas (KEV), tornando a correção obrigatória para órgãos federais dos EUA e referência urgente para o setor privado.

Abaixo, a tabela técnica consolidada da vulnerabilidade:

O fato de a exploração estar ativa e ser remota significa que a falha já deixou de ser teórica. A CISA KEV funciona como um indicador oficial de que há campanhas reais em andamento, não apenas provas de conceito acadêmicas. Para a equipe de segurança, isso muda completamente a prioridade: o patch deve sair do backlog e entrar na janela de mudança emergencial.

CVE-2026-104935 Exploração Ativa Vulnerabilidade: Análise técnica detalhada

Do ponto de vista técnico, o Ivanti Connect Secure implementa múltiplos mecanismos de autenticação — como certificados digitais, tokens SAML, cookies de sessão e cabeçalhos de confiança reversa. A vulnerabilidade CVE-2026-104935 está ligada à validação inadequada de um desses mecanismos quando o appliance processa requisições HTTPS de entrada. O atacante consegue forjar um identificador de sessão, um cabeçalho de autenticação ou um atributo de identidade que o servidor interpreta como legítimo.

Esse tipo de bypass por spoofing é particularmente perigoso porque não depende de credenciais fracas, senhas vazadas ou falhas humanas. O appliance acredita que a requisição já passou pelo fluxo correto de autenticação e libera acesso administrativo ou de sistema. A consequência imediata é a possibilidade de executar comandos arbitrários, normalmente no contexto de privilégios elevados, o que permite a instalação de web shells, criação de usuários administrativos, extração de configurações e captura de credenciais de usuários VPN.

Como o Ivanti Connect Secure geralmente fica na borda da rede, ele concentra certificados TLS, políticas de acesso, integrações LDAP/AD e, muitas vezes, chaves de sessão de usuários remotos. O comprometimento desse appliance pode expor a empresa a ataques secundários como pass-the-hash, kerberoasting e movimentação lateral em direção aos controladores de domínio. Algumas campanhas conhecidas de anos anteriores exploraram falhas semelhantes em appliances Ivanti para implantar backdoors persistentes mesmo após a aplicação do patch, o que torna a inspeção forense pós-exploração obrigatória.

A classificação de severidade HIGH — neste cenário representada por um CVSS 8.1 — reflete a combinação de vetor de rede, baixa complexidade de ataque, ausência de privilégios necessários e impacto crítico na confidencialidade, integridade e disponibilidade. A única razão de não ser CRITICAL é a necessidade de algum fator de contexto, como o appliance estar acessível pela internet ou em um segmento alcançável pelo atacante, mas na prática a grande maioria das implantações se encontra exatamente nessa condição.

Produtos e Versões Afetados

O produto primário afetado é o Ivanti Connect Secure, antigo Pulse Connect Secure, utilizado como gateway VPN SSL e portal de acesso remoto. A Ivanti ainda não divulgou uma matriz exata de versões no momento desta publicação, mas a orientação oficial e o alerta CISA indicam que todas as builds sem o patch de segurança de outubro de 2026 devem ser consideradas vulneráveis e ativamente visadas.

• Ivanti Connect Secure — versões suportadas 9.x e 22.x sem patch de outubro/2026 🟠 Alto
• Ivanti Connect Secure — appliances físicos e virtuais expostos à internet 🟠 Alto
• Ivanti Policy Secure — sob avaliação; componentes compartilhados podem estar sujeitos à mesma classe de falha 🟡 Médio
• Ambientes com integrações LDAP/AD, SAML ou certificados digitais — risco ampliado de comprometimento de credenciais corporativas 🟠 Alto

Se sua organização opera versões antigas ou em fim de suporte, como appliances sem atualização desde 2023, o risco é ainda maior: além da CVE-2026-104935, esses equipamentos acumulam outras vulnerabilidades conhecidas e não corrigidas. A recomendação da JRT é tratar qualquer appliance Ivanti Connect Secure sem patch como comprometido até prova em contrário.

Como o Ataque Funciona

O vetor de ataque explora a superfície HTTPS exposta do Ivanti Connect Secure. Sem a necessidade de interação do usuário, o invasor automatiza a exploração em larga escala ou direciona campanhas específicas a empresas de alto valor. O fluxo conceitual de ataque pode ser descrito nas seguintes etapas:

1. Reconhecimento e identificação: o atacante varre blocos de IP em busca de fingerprints do Ivanti Connect Secure, como páginas de login com a assinatura /dana-na/auth/url_default/welcome.cgi ou variações de banners TLS.
2. Spoofing de autenticação: uma requisição HTTPS é criada com cabeçalhos, cookies ou parâmetros forjados para simular uma sessão já autenticada ou uma entidade confiável. O servidor valida incorretamente essas informações e concede acesso indevido.
3. Execução de comandos arbitrários: após o bypass, o atacante aciona endpoints legítimos do appliance para executar comandos no sistema operacional, obtendo controle remoto do equipamento.
4. Persistência e expansão: o invasor instala web shells, cria contas administrativas ocultas, extrai certificados e credenciais, e estabelece túneis para a rede interna.
5. Movimentação lateral e impacto final: a partir do appliance VPN, o atacante acessa recursos internos, servidores de autenticação e dados críticos, podendo culminar em ransomware ou exfiltração massiva.

É importante notar que a exploração não exige credenciais válidas nem interação do usuário final. Uma única requisição maliciosa pode ser suficiente para comprometer o appliance. Por isso, mesmo organizações que mantêm senhas fortes e MFA ativo estão expostas: a falha está na confiança que o próprio servidor deposita nos dados de autenticação spoofados, não na fragilidade das credenciais dos funcionários.

CVE-2026-104935 Exploração Ativa Vulnerabilidade: Impacto real para empresas

O impacto de um comprometimento do Ivanti Connect Secure vai muito além da indisponibilidade do acesso remoto. Esse appliance é o ponto de entrada de funcionários, prestadores e parceiros para a rede corporativa. Quando um atacante assume o controle dele, ele passa a enxergar e interceptar grande parte do tráfego remoto, além de obter um ponto de apoio confiável dentro do perímetro.

Entre as consequências práticas para o negócio, destacam-se:

• Comprometimento de credenciais corporativas: integrações com Active Directory, LDAP e SSO permitem captura de hashes e tokens, viabilizando ataques a toda a rede.
• Roubo de dados sensíveis: o atacante pode acessar arquivos internos, dados de clientes, propriedade intelectual e informações reguladas por LGPD, GDPR, PCI-DSS e HIPAA.
• Paralisia de operações: a incapacidade de fornecer acesso remoto seguro pode travar o trabalho de equipes inteiras, impactando receita e acordos de nível de serviço.
• Ransomware e extorsão: o acesso inicial obtido pelo appliance VPN é frequentemente leiloado ou utilizado diretamente para deploy de ransomware, com custo médio de recuperação na casa dos milhões de reais.
• Passivos regulatórios e contratuais: a LGPD impõe comunicação obrigatória de incidentes à ANPD e aos titulares, com multas que podem chegar a 2% do faturamento, além de sanções em contratos B2B e cobranças de compliance.

Estamos diante de um vetor de ataque que não apenas quebra a confidencialidade, mas mina a confiança em toda a infraestrutura de identidade. Em setores regulados como financeiro, saúde e energia, o impacto pode ser ainda mais severo, com obrigações adicionais de notificação a órgãos reguladores e investigação forense independente.

Como se Proteger — Passos de Mitigação

A ação imediata exige disciplina e coordenação entre os times de redes, segurança e operações. Abaixo, o passo a passo recomendado pela JRT Technology Solutions para conter o risco neste momento:

1. Inventário e exposição: identifique todos os appliances Ivanti Connect Secure na rede, incluindo filiais e ambientes de nuvem. Verifique quais estão acessíveis pela internet usando Shodan, Censys ou varredura interna.
2. Aplique o patch oficial imediatamente: acesse o portal de suporte da Ivanti e baixe a atualização de segurança liberada para outubro de 2026. Priorize appliances com exposição pública.
3. Mitigação temporária, se o patch não puder ser aplicado: restrinja o acesso administrativo a redes de gerência, desative funcionalidades de autenticação baseadas em spoofing (se possível) e coloque o appliance atrás de um WAF ou proxy com regras estritas.
4. Monitore sinais de comprometimento: revise logs de autenticação, busque por novas contas administrativas, web shells, processos suspeitos e conexões de saída não usuais nos appliances.
5. Rode resposta a incidentes direcionada: se houver qualquer evidência de exploração, acione o plano de IR, isole o appliance e colete evidências antes de aplicar o patch. Considere a investigação forense de memória e disco.
6. Force a rotação de credenciais: altere senhas de administradores, chaves de API, certificados e tokens associados ao appliance. Reforce políticas de MFA para todos os usuários VPN.
7. Segmente a rede: garanta que o appliance VPN não tenha acesso irrestrito à rede interna. Use firewalls internos, microssegmentação e políticas de least privilege.
8. Atualize sua gestão de vulnerabilidades: na JRT Technology Solutions implementamos varredura contínua de CVEs para frotas corporativas, incluindo ativos de borda, para detectar não apenas a CVE-2026-104935, mas também a CVE-2026-96951 e outras falhas ativas.

Para empresas que gerenciam centenas ou milhares de dispositivos, a aplicação manual de patches é inviável. Ferramentas de MDM corporativo e automação de correção são essenciais. Nossa equipe na JRT Technology Solutions oferece gestão de vulnerabilidades, MDM corporativo e monitoramento de segurança para reduzir a janela de exposição de forma automatizada e auditável.

Verificação pós-patch

Aplicar o patch é metade do trabalho. É fundamental validar que a correção foi efetiva e que nenhum artefato malicioso permaneceu no ambiente. Siga esta checklist técnica:

• Confirme a versão corrigida: acesse a interface administrativa e verifique se a build instalada corresponde à versão lançada em 14/10/2026. Registre a evidência em seu sistema de mudanças.
• Reexecute varreduras de vulnerabilidade: use scanners como Qualys, Nessus ou a solução de gestão de vulnerabilidades da JRT para confirmar que a falha não é mais detectada.
• Revise logs de autenticação e sistema: procure por sessões administrativas fora do horário normal, logins a partir de IPs estranhos, modificações em arquivos de configuração e processos persistentes.
• Verifique a integridade do sistema: compare hashes de binários e arquivos críticos com uma imagem limpa do appliance. Qualquer divergência deve ser tratada como comprometimento.
• Teste o fluxo de autenticação normal: realize testes de login com usuários reais e de serviço para garantir que o patch não quebrou integrações SAML, LDAP ou certificados.
• Monitore os próximos 30 dias: atacantes podem ter estabelecido persistência antes do patch. O SOC da JRT monitora alertas CISA KEV em tempo real e pode ajudar na detecção de movimentação lateral tardia.

Se qualquer indicador de comprometimento for encontrado, trate o appliance como hostil e reconstrua-o a partir de mídia limpa. Não basta remover o invasor; é preciso eliminar todos os mecanismos de persistência que ele possa ter implantado.

Contexto histórico e comparativo

A CVE-2026-104935 não é um evento isolado. A Ivanti já enfrentou ondas de exploração ativa em anos anteriores, notadamente com as vulnerabilidades CVE-2023-46805, CVE-2024-21887 e CVE-2024-21893, que também resultaram em campanhas massivas de intrusão em appliances VPN. A recorrência de falhas de autenticação e execução de comandos nessa classe de produto reforça a necessidade de tratar appliances de borda como infraestrutura crítica e permanentemente visada.

O alerta de hoje também se insere em um cenário mais amplo de pressão sobre dispositivos de borda. A edição KW 41/2026 do OT Security Weekly DACH destaca que “Edge Devices Under Fire”, enquanto o BleepingComputer e o The Hacker News publicaram análises sobre o zero-day do Microsoft Windows e exploits full-chain de navegadores construídos com modelos de IA. Isso demonstra que os adversários estão mais rápidos, mais automatizados e mais sofisticados do que nunca.

Outro ponto relevante é a simultaneidade com a CVE-2026-96951, uma injeção de comando no Windows Shell também sob exploração ativa. Empresas precisam tratar ambas as frentes, pois um atacante pode usar o Ivanti para entrar na rede e a falha do Windows para escalar privilégios ou persistir. A gestão de vulnerabilidades integrada é, portanto, a única resposta sustentável.

Conclusão

A CVE-2026-104935 exploração ativa vulnerabilidade no Ivanti Connect Secure exige resposta imediata. O cenário é de alerta máximo: bypass de autenticação remoto, execução arbitrária de comandos, exploração confirmada pela CISA e um appliance criticamente posicionado na borda da rede. Cada hora que passa sem patch ou mitigação aumenta a probabilidade de comprometimento com consequências financeiras, regulatórias e reputacionais.

Se a sua organização ainda não iniciou a remediação, comece agora: identifique os ativos expostos, aplique o patch, revise logs e force a rotação de credenciais. Na JRT Technology Solutions, oferecemos gestão de vulnerabilidades, MDM corporativo e monitoramento de segurança para frotas corporativas, com varredura contínua de CVEs e SOC ativo monitorando alertas CISA KEV em tempo real. Fale com nosso time para uma avaliação emergencial do seu ambiente Ivanti e de toda a sua superfície de ataque.