CVE-2026-118527: exploração ativa em Ivanti Connect Secure (ALTA)

A CVE-2026-118527 exploração ativa vulnerabilidade no Ivanti Connect Secure entrou nesta segunda-feira, 2 de novembro de 2026, para o catálogo de vulnerabilidades exploradas ativamente da CISA (Known Exploited Vulnerabilities — KEV). A falha, classificada como HIGH, permite que um atacante autenticado remotamente envie arquivos com conteúdo controlado para um local conhecido em disco no appliance Ivanti Connect Secure. O problema é ainda mais crítico porque foi observado em cadeia com outras duas vulnerabilidades zero-day: CVE-2026-104935 e CVE-2026-111357.

O cenário desta manhã é de alerta máximo. Estamos diante de uma condição típica de zero-day: a exploração começou antes da disponibilização pública da correção, o que significa que a janela de proteção para as equipes de segurança foi igual a zero durante o período inicial dos ataques. Para empresas que utilizam Ivanti Connect Secure como solução de acesso remoto VPN, o risco é imediato: um appliance comprometido pode servir como ponto de pivô para toda a rede corporativa.

Além da CVE-2026-118527, a CISA também adicionou hoje ao KEV a CVE-2026-111357, que descreve uma falha de ausência de autenticação para função crítica no mesmo produto. Juntas, essas vulnerabilidades formam uma cadeia de exploração que permite escalada de privilégios, upload de arquivos maliciosos e, potencialmente, execução remota de código ou persistência no ambiente. A BleepingComputer confirmou que a Ivanti já liberou patches para as duas novas falhas, mas a velocidade de aplicação será decisiva para limitar o dano.

No restante deste artigo, detalhamos a natureza técnica da CVE-2026-118527, os produtos afetados, o vetor de ataque, os impactos reais para o negócio e um guia prático de mitigação. Se você administra VPN corporativa, firewalls ou serviços de acesso remoto, trate este conteúdo como prioridade imediata.

O que é a CVE-2026-118527: exploração ativa de vulnerabilidade

A CVE-2026-118527 explora uma fraqueza clássica de geração de números ou identificadores previsíveis. Na prática, o Ivanti Connect Secure utiliza um mecanismo que deveria gerar nomes ou identificadores aleatórios para arquivos temporários, sessões ou rotas de upload. Como esse mecanismo é previsível, um invasor autenticado consegue deduzir o local exato em disco onde um arquivo será gravado. Isso elimina a necessidade de adivinhar caminhos ou de explorar uma injeção de diretório; o atacante simplesmente sabe onde o conteúdo será colocado.

O fato de exigir autenticação não reduz a gravidade. Ambientes corporativos frequentemente possuem usuários com credenciais fracas ou vazadas, e o ataque em cadeia com a CVE-2026-111357 — ausência de autenticação para função crítica — pode permitir que um atacante local autenticado escale privilégios até alcançar os níveis necessários para abusar da falha de upload. Em cenários observados, as vulnerabilidades são encadeadas para comprometer completamente o appliance.

O catálogo KEV da CISA não é apenas um aviso; é uma ordem operacional para agências federais e empresas que seguem boas práticas de segurança. A inclusão da CVE-2026-118527 indica que agências dos EUA e organizações globais têm prazo obrigatório para aplicar mitigação, geralmente dentro de dias úteis. No Brasil, embora a CISA não tenha poder legal, a exploração ativa deve ser tratada como incidente iminente.

Análise técnica detalhada da CVE-2026-118527 exploração ativa

A vulnerabilidade está enraizada na previsibilidade de identificadores usados pelo processo de upload do Ivanti Connect Secure. Quando um usuário autenticado envia um arquivo, o appliance precisa alocar um nome temporário ou um caminho de destino. Se esse nome segue uma sequência previsível — por exemplo, baseada em timestamp, contador incremental ou valor de sessão — o invasor pode calcular o próximo identificador válido e forçar a gravação de um arquivo em local conhecido.

Uma vez gravado em disco, o arquivo de conteúdo controlado pode ser usado de várias maneiras. Dependendo do contexto da aplicação, o atacante pode tentar sobrescrever arquivos legítimos, plantar webshells, modificar scripts de inicialização ou influenciar bibliotecas carregadas pelo sistema. A cadeia com a CVE-2026-104935 e a CVE-2026-111357 sugere que o objetivo final não é apenas o upload, mas a execução de código ou a escalada de privilégios no appliance.

Do ponto de vista de classificação, a CVE-2026-118527 se encaixa em CWE-330 — Geração de Números ou Identificadores Previsíveis. Essa categoria engloba falhas em que a entropia esperada não é alcançada, minando controles de segurança que dependem de imprevisibilidade, como tokens anti-CSRF, nomes de sessão, IDs de upload e chaves de arquivo. A correção, nesses casos, normalmente envolve substituir o gerador previsível por um gerador criptograficamente seguro, como /dev/urandom ou APIs de randomização do sistema.

A exploração ativa confirmada pela CISA significa que existe código de ataque funcionando em ambientes reais. Os alvos provavelmente incluem organizações com appliances Ivanti Connect Secure expostos à internet. Esses dispositivos são amplamente usados para VPN corporativa, acesso remoto de funcionários e terceiros. A exposição pública, somada à criticidade da função de acesso remoto, torna cada instância vulnerável um ponto crítico de entrada para a rede interna.

É importante entender que zero-day não é sinônimo de “indetectável”. Zero-day significa que a falha foi explorada antes de o fornecedor publicar a correção. Quando a CVE-2026-118527 exploração ativa vulnerabilidade é descoberta, a exploração já pode ter ocorrido por semanas ou meses. Por isso, a verificação de IOCs (indicadores de comprometimento) e a caça a ameaças são essenciais, além do simples patch.

Produtos e Versões Afetados

A lista abaixo reúne os produtos diretamente afetados pela CVE-2026-118527 e pela cadeia de exploração ativa confirmada nesta segunda-feira:

• Ivanti Connect Secure — 🟠 Alto — geração de identificadores previsíveis permite upload de arquivos em local conhecido.
• Ivanti Connect Secure — 🟠 Alto — CVE-2026-111357 — ausência de autenticação para função crítica permite escalada de privilégios.
• Ivanti Connect Secure — 🟠 Alto — CVE-2026-104935 — falha encadeada nas campanhas observadas; detalhes completos no advisory da Ivanti.
• Ivanti Policy Secure — 🟡 Médio — possível impacto indireto caso compartilhe componentes com o Connect Secure; valide com o fornecedor.

As versões exatas afetadas podem variar conforme a geração do appliance e o canal de atualização. A Ivanti publicou boletins de segurança específicos para as correções. Em cenários corporativos, recomendamos validar imediatamente a versão em execução no seu parque. A ausência de numeração pública clara não deve atrasar a resposta: qualquer instância Ivanti Connect Secure que não tenha recebido a atualização lançada hoje deve ser considerada potencialmente vulnerável.

Como o Ataque Funciona

O ataque envolvendo a CVE-2026-118527 segue uma sequência lógica que combina autenticação, escalada de privilégios e upload malicioso. O primeiro passo é obter acesso autenticado ao appliance. Isso pode ocorrer por meio de credenciais comprometidas, ataques de força bruta contra o portal de login, ou exploração da CVE-2026-111357, que permite a atacantes locais autenticados escalarem privilégios.

Depois de autenticado, o invasor calcula o identificador previsível gerado pelo appliance para um novo arquivo temporário ou de upload. Como a entropia é insuficiente, ele consegue antecipar o caminho exato em disco. Em seguida, envia um arquivo com conteúdo controlado para essa localização conhecida. Esse arquivo pode ser um script, binário malicioso ou até uma página PHP/JSP, dependendo da estrutura do sistema.

Com o arquivo no lugar, o atacante pode usar a falha encadeada CVE-2026-104935 para acionar a execução do payload ou modificar comportamentos do appliance. Em essência, a cadeia permite escapar do contexto de usuário limitado e alcançar controle sistêmico. Uma vez que o Ivanti Connect Secure fica comprometido, o atacante pode interceptar credenciais de VPN, redirecionar tráfego, instalar backdoors e usar o appliance como ponte para outros servidores internos.

Etapas conceituais do ataque:

1. Reconhecimento: identificação de appliances Ivanti Connect Secure expostos na internet.
2. Acesso inicial: obtenção de credenciais de usuário ou exploração de falha de autenticação.
3. Escalada de privilégios: uso da CVE-2026-111357 para ganhar privilégios elevados.
4. Previsão do identificador: cálculo do caminho previsível de destino do upload.
5. Upload malicioso: envio de arquivo com conteúdo controlado para local conhecido.
6. Execução/persistência: acionamento do payload via CVE-2026-104935 e instalação de backdoor.
7. Movimento lateral: uso do appliance comprometido para acessar a rede interna.

Não há evidências públicas nesta segunda-feira de que um grupo específico tenha reivindicado a autoria dos ataques. Contudo, appliances VPN como Ivanti Connect Secure são alvos clássicos de atores de espionagem cibernética e de afiliados de ransomware. A exploração ativa observada em ambientes reais sugere motivação financeira ou geopolítica, ou ambas.

Impacto Real da CVE-2026-118527: exploração ativa da vulnerabilidade

O impacto prático de um appliance Ivanti Connect Secure comprometido é severo. O produto é justamente o ponto de concentração de acessos remotos. Quando um invasor controla esse concentrador, ele pode coletar credenciais de usuários legítimos, interceptar sessões VPN, modificar regras de acesso e usar o dispositivo como porta de entrada para a rede corporativa. Em muitos casos, o appliance é um servidor Linux com acesso a diretórios de configuração e chaves privadas, o que amplia o dano.

Organizações que utilizam o Connect Secure para acesso de terceiros, prestadores de serviço e funcionários remotos devem considerar o pior cenário: exposição de dados pessoais, interrupção de serviços e possível infecção por ransomware. A confidencialidade, a integridade e a disponibilidade — os pilares da segurança da informação — podem ser simultaneamente comprometidas.

Do ponto de vista regulatório, a exploração dessa vulnerabilidade pode gerar incidentes de segurança que exigem notificação obrigatória. No Brasil, a LGPD (Lei Geral de Proteção de Dados) exige comunicação à ANPD e aos titulares em caso de incidente com risco relevante. Na Europa, o GDPR impõe prazos de 72 horas para notificação. Empresas que processam pagamentos devem observar o PCI-DSS, que obriga manter sistemas de borda atualizados e monitorados. No setor de saúde, o HIPAA impõe controles rigorosos para proteger informações médicas e notificar violações.

Além das multas e sanções, há o custo reputacional. Quando uma empresa sofre invasão através de um appliance VPN corporativo, clientes e parceiros questionam a capacidade da organização de proteger ativos sensíveis. A confiança, uma vez abalada, é difícil de restaurar.

Outro ponto de impacto é a continuidade operacional. Um atacante pode derrubar o Connect Secure, interrompendo o trabalho remoto de centenas ou milhares de funcionários. Em setores como logística, serviços financeiros e saúde, minutos de indisponibilidade se traduzem em prejuízo financeiro imediato. A CVE-2026-118527 exploração ativa vulnerabilidade não é apenas um problema técnico: é um risco de negócio.

Como se Proteger — Passos de Mitigação

A resposta imediata deve seguir uma ordem de prioridade: corrigir, restringir, monitorar e validar. A Ivanti já disponibilizou patches para as duas novas vulnerabilidades citadas. Aplique-os o quanto antes, especialmente em appliances expostos à internet. Se você não conseguir corrigir nas próximas horas, considere retirar temporariamente o Connect Secure da exposição pública ou aplicar mitigação de acesso.

1. Aplique o patch urgente da Ivanti. Acesse o portal oficial de atualizações da fabricante e instale a versão corrigida. Priorize appliances voltados para a internet.
2. Restrinja o acesso administrativo. Limite a interface de administração a IPs internos confiáveis. Se possível, use uma rede de gerenciamento separada.
3. Habilite autenticação multifator (MFA). Exija MFA para todos os usuários, especialmente contas com privilégios elevados. Isso reduz o risco de acesso autenticado por credenciais roubadas.
4. Monitore logs de autenticação e upload. Procure por tentativas de login suspeitas, horários incomuns e uploads de arquivos fora do normal.
5. Segmente a rede. Isole o appliance VPN em uma zona desmilitarizada (DMZ) com regras de firewall restritas para a rede interna.
6. Avalie as cadeias com CVE-2026-111357 e CVE-2026-104935. Aplique as correções para todas as três vulnerabilidades, não apenas a CVE-2026-118527.
7. Implemente varredura contínua de vulnerabilidades. Na JRT Technology Solutions, implementamos varredura contínua de CVEs para frotas corporativas, identificando automaticamente appliances e endpoints desatualizados.
8. Consulte o advisory oficial da Ivanti. Obtenha os IOCs e as assinaturas de detecção antes de aplicar o patch.

Nosso SOC monitora alertas CISA KEV em tempo real, correlacionando eventos de rede e endpoints para detectar comportamento de exploração. Se sua organização não possui visibilidade sobre o parque de appliances VPN, este é o momento de adotar um processo de gestão de vulnerabilidades estruturado.

Verificação Pós-Patch

Aplicar o patch não encerra o trabalho. É fundamental verificar se a atualização foi realmente instalada em todos os appliances e se nenhum artefato de comprometimento permaneceu no sistema. A verificação pós-patch deve incluir:

• Confirmação da versão corrigida. Valide o número de build no painel administrativo de cada appliance.
• Revisão de arquivos suspeitos em disco. Procure por arquivos fora dos diretórios esperados, timestamps incomuns e extensões atípicas.
• Análise de processos ativos. Verifique se há processos não assinados ou comandos de shell executando em segundo plano.
• Busca por contas de usuário criadas recentemente. Atacantes frequentemente criam contas de persistência após obter acesso.
• Comparação de hashes de arquivos críticos. Confirme a integridade de binários e scripts do sistema com uma baseline conhecida.
• Revisão de regras de firewall e rotas. Certifique-se de que o atacante não alterou as políticas de acesso.

Se você suspeita que o appliance já foi comprometido, a melhor prática é realizar uma reinstalação limpa a partir de mídia confiável e restaurar as configurações de backup conhecidas como íntegras. Não confie em um appliance que permaneceu vulnerável durante um período de exploração ativa; backdoors sofisticados podem sobreviver a patches simples.

Contexto Histórico e Comparativo

Esta não é a primeira vez que dispositivos Ivanti entram no catálogo KEV da CISA. A família Connect Secure, anteriormente conhecida como Pulse Secure, já esteve no centro de campanhas de exploração massivas. Em 2021, múltiplas vulnerabilidades em Pulse Connect Secure foram exploradas por grupos de ameaça persistentes para comprometer redes governamentais e corporativas. O padrão se repete: appliances de borda, especialmente VPNs, são alvos preferenciais porque representam um ponto único de acesso remoto e frequentemente não recebem atualizações com a mesma agilidade dos endpoints.

Comparada a outras falhas recentes, a CVE-2026-118527 chama atenção por ser encadeada com duas outras vulnerabilidades zero-day. Esse tipo de cadeia é típico de atacantes avançados que estudam o produto em profundidade. A exploração combinada de CVE-2026-118527, CVE-2026-111357 e CVE-2026-104935 sugere um planejamento cuidadoso e testes prévios em laboratório.

Esse histórico demonstra que appliances VPN são alvos persistentes. Ignorar atualizações dessas soluções é uma aposta arriscada. As organizações devem tratar qualquer alerta KEV da CISA envolvendo VPNs como prioridade máxima, independentemente da severidade nominal.

Conclusão

A CVE-2026-118527 exploração ativa vulnerabilidade no Ivanti Connect Secure é um alerta de segurança em estado puro. A falha HIGH, com exploração ativa confirmada pela CISA, se junta a duas outras vulnerabilidades encadeadas em ataques observados em ambientes reais. A janela zero, o papel crítico do produto no acesso remoto e a disponibilidade de exploits tornam a aplicação imediata de correções uma obrigação.

Se sua empresa opera Ivanti Connect Secure, não espere o próximo ciclo de atualizações. Aplique o patch agora, verifique a integridade dos appliances e acione sua equipe de segurança para procurar sinais de comprometimento. Na JRT Technology Solutions, implementamos varredura contínua de CVEs para frotas corporativas, monitoramos alertas CISA KEV em tempo real e ajudamos organizações a responder rapidamente a ameaças como esta. Fale com nosso time para avaliar sua exposição antes que um invasor o faça.