Para quem é este artigo: equipes de rede e segurança que operam appliances VPN, firewalls, gateways de e-mail e outros dispositivos de borda (equipamentos que ficam entre a sua rede e a internet). Esta página se baseia nos comunicados de segurança dos fornecedores e nos dados públicos da CISA. Ela não trata de como os ataques funcionam.
Em andamento: esta página será atualizada conforme novas informações forem publicadas
Em 24 de outubro de 2026Ainda não se sabe
- Versões corrigidas do Ivanti Connect Secure por linha de código (este site não conseguiu obter o texto do comunicado da Ivanti)
- Uma correção para a falha de escalonamento de privilégios do Ivanti Connect Secure que foi relatada
- Quantas organizações foram afetadas por cada falha
As cinco falhas estão no KEV e cada fornecedor lançou correções. No caso do Ivanti Connect Secure, relata-se que a correção de uma falha de escalonamento de privilégios usada nos mesmos ataques ainda está por vir. Esta página será atualizada quando os comunicados forem revisados.
Verificação rápida: isso afeta você?
A tabela mostra a data em que cada falha foi adicionada ao KEV (o catálogo da CISA de vulnerabilidades sabidamente exploradas) e o prazo para agências federais dos EUA, conforme registrado no KEV.
| Produto | CVE | Exige login? | KEV adicionado / prazo | O que fazer |
|---|---|---|---|---|
| Ivanti Connect Secure (VPN) | CVE-2026-104935 | Não | 13 out / 16 out | Atualizar; investigar comprometimento |
| Palo Alto Networks PAN-OS (firewall) | CVE-2026-0322 | Sim (privilégio elevado) | 14 out / 17 out | Atualizar; restringir o acesso de gerenciamento |
| Fortinet FortiOS e outros | CVE-2025-61624 | Sim (admin) | 16 out / 19 out | Atualizar; migrar da 7.2 e anteriores |
| Cisco Secure Email Gateway | CVE-2026-76519 | Não | 14 out / 17 out | Atualizar o Content Scanner Tools ou o AsyncOS |
| Produtos Atlassian Data Center | CVE-2026-21589 | Não | 15 out / 18 out | Atualizar; restringir o acesso externo |
13 out
Ivanti adicionado (prazo 16)
14 out
PAN-OS e Cisco adicionados (prazo 17)
15 out
Atlassian adicionado (prazo 18)
16 out
Fortinet adicionado (prazo 19)
Ivanti Connect Secure (CVE-2026-104935)
- Tipo
- Bypass de autenticação por falsificação (spoofing) (CWE-290). Um invasor remoto e não autenticado pode executar comandos arbitrários
- Gravidade
- CVSS v3.1 8.6
- Afetadas
- 25.1.1.1 e anteriores, 25.1.2.2 e anteriores, 22.8R2.4 e anteriores (alerta da CISA)
- Corrigida
- Confirme a versão corrigida para a sua linha de código no comunicado da Ivanti
- Exploração
- A Ivanti disse, na divulgação, que tinha conhecimento de exploração limitada em ambiente real. A CISA o adicionou ao KEV em 13 de outubro e diz que ele está sendo usado para roubo de credenciais e exfiltração de dados
A Ivanti publicou seu comunicado em 13 de outubro; em um post de blog no mesmo dia, pediu que clientes com versões afetadas atualizassem imediatamente para a versão corrigida e executassem regularmente a Integrity Checker Tool. Este site não conseguiu obter o texto do comunicado da Ivanti, por isso os números das versões corrigidas não estão listados aqui. Consulte o comunicado para saber a versão corrigida da sua linha de código. Segundo a CISA, a linha 22.8 chega ao fim da vida útil em 31 de janeiro de 2027.
A CISA diz que, como os comandos do invasor são executados na memória, a Integrity Checker Tool da Ivanti pode não detectar a exploração, e que são necessárias análises forenses de rede e de memória para determinar se houve comprometimento. Se houver suspeita de comprometimento, a CISA recomenda o seguinte.
Fazer backup da configuração
Faça um backup da configuração do appliance.
Restaurar o padrão de fábrica e atualizar
Restaure o appliance às configurações de fábrica e atualize para a versão mais recente. Em sistemas virtuais e em nuvem, recrie a instância e atualize.
Restaurar a configuração
Restaure a configuração a partir do backup.
Trocar as credenciais
Redefina as senhas de todas as contas de domínio, de administrador e locais, revogue e reemita os certificados armazenados e redefina as chaves de API e as credenciais do servidor de licenças armazenadas.
Relatado, ainda não confirmado
Uma empresa de segurança dos EUA que investigou os ataques escreveu em 13 de outubro que viu exploração a partir de 3 de outubro e que os ataques encadearam três falhas: um bypass de autenticação, uma gravação de arquivo e um escalonamento de privilégios. Ela diz que a Ivanti planeja corrigir a falha de escalonamento de privilégios em uma versão nas próximas semanas. Este site não conseguiu confirmar isso no texto do comunicado da Ivanti. Depois de atualizar, continue acompanhando o próximo comunicado da Ivanti.
Palo Alto Networks PAN-OS (CVE-2026-0322)
- Tipo
- Injeção de código na interface de gerenciamento (CWE-94). Um invasor autenticado pode executar código arbitrário como root no firewall
- Gravidade
- CVSS v4.0 8.6; 8.5 se o acesso de gerenciamento for restrito a um jump box
- Condições
- Acesso de rede à interface de gerenciamento e login com privilégio elevado. Não exige configuração especial
- Afetadas
- PAN-OS 10.2, 11.1, 11.2, 12.1 e 12.2 em PA-Series, VM-Series e Panorama
- Não afetadas
- Cloud NGFW e Prisma Access (nenhuma ação necessária)
- Exploração
- A Palo Alto Networks diz que viu exploração muito limitada direcionada à interface de gerenciamento
As versões corrigidas são divididas em detalhe por linha (train) e por nível de hotfix (-h). No topo de cada linha: 12.2.4 ou posterior, 12.1.10-h2 ou posterior, 11.2.16 ou posterior, 11.1.16-h3 ou posterior e 10.2.18-h12 ou posterior. Consulte a tabela do comunicado para os hotfixes de versões intermediárias (por exemplo, 11.2.13-h3). Versões sem suporte devem migrar para uma versão corrigida com suporte.
O comunicado diz que não há soluções alternativas conhecidas. O risco é maior quando a interface de gerenciamento está acessível pela internet, e o fornecedor recomenda permitir o acesso de gerenciamento apenas a partir de endereços IP internos confiáveis. Clientes com Threat Prevention têm cobertura limitada pelos Threat IDs 510046 e 510047, que exigem descriptografia SSL. A atualização é a correção recomendada.
Fortinet FortiOS e outros (CVE-2025-61624)
- Tipo
- Path traversal na CLI (CWE-22). Um invasor privilegiado pode gravar ou excluir arquivos arbitrários passando argumentos especialmente criados a comandos existentes
- Gravidade
- CVSS v3 6.0 (a Fortinet classifica como Média)
- Condições
- Um login de administrador. O KEV diz que é necessário um perfil de administrador com pelo menos permissões de leitura e gravação
- Publicada
- 14 de abril de 2026 (comunicado inicial). Adicionada ao KEV em 16 de outubro
- Exploração
- O comunicado a lista como Known Exploited: Yes, sem mais detalhes
Esta falha foi divulgada há seis meses e só agora foi adicionada ao KEV. Se você a adiou em abril por ser de gravidade média e exigir conta de administrador, reavalie agora.
| Produto | Afetadas | Ação |
|---|---|---|
| FortiOS 7.6 | 7.6.0 a 7.6.4 | Atualizar para 7.6.5 ou posterior |
| FortiOS 7.4 | 7.4.0 a 7.4.9 | Atualizar para 7.4.10 ou posterior |
| FortiOS 7.2, 7.0, 6.4 | Todas as versões | Migrar para uma versão corrigida |
| FortiProxy 7.6 / 7.4 | 7.6.0-7.6.4 / 7.4.0-7.4.11 | 7.6.5+ / 7.4.12+ (migrar da 7.2, 7.0) |
| FortiPAM 1.7 | 1.7.0 | 1.7.1+ (migrar da 1.6 e anteriores; a 1.8 não é afetada) |
| FortiSwitchManager 7.2 / 7.0 | 7.2.0-7.2.7 / 7.0.0-7.0.6 | 7.2.8+ / 7.0.7+ |
O comunicado não lista solução alternativa. A Fortinet diz que há um patch virtual (uma assinatura FortiGuard) disponível. Como a pré-condição é uma conta de administrador, restrinja quem pode acessar a interface de gerenciamento, desative contas de administrador não usadas e exija autenticação multifator nos logins de administrador (recomendação deste site).
Cisco Secure Email Gateway (CVE-2026-76519)
- Tipo
- Path traversal relativo (CWE-23) que leva à gravação arbitrária de arquivos. Acionado por um e-mail com um anexo especialmente criado, e pode levar à execução de comandos como root
- Gravidade
- CVSS v3.1 9.8
- Condições
- Sem login. Afetado somente se o File Reputation (parte do Cisco AMP) estiver habilitado e atribuído a uma política de e-mail, e o Content Scanner Tools for anterior à 25.3.0.5525
- Corrigida
- Content Scanner Tools 25.3.0.5525 ou posterior (sem reinicialização), ou AsyncOS 15.5.5-014 ou 16.5.0-780. A 16.0 e versões anteriores à 16.5 devem migrar para a 16.5.0-780
- Não afetados
- Secure Email and Web Manager, Secure Web Appliance. A Cisco corrigiu o serviço em nuvem e os clientes não precisam atualizar, mas entrou em contato com clientes com indicadores de comprometimento e recomenda renovar credenciais e chaves
- Exploração
- A Cisco PSIRT diz que tomou conhecimento de exploração ativa em outubro de 2026
Não há solução alternativa. O lado de recebimento de e-mails não pode ser fechado, mas a recomendação de hardening da Cisco é separar o tráfego de gerenciamento do tráfego de e-mail em interfaces de rede diferentes e permitir que apenas hosts conhecidos e confiáveis acessem o appliance. Na interface web, verifique se Enable File Reputation está marcado nas configurações de Advanced Malware Protection das suas políticas de e-mail e verifique a versão do Content Scanner Tools na CLI (contentscannerstatus). Se estiver afetado, atualize o Content Scanner Tools. Ativar as atualizações automáticas ajuda a receber a próxima correção mais cedo.
O comunicado da Cisco inclui um procedimento para verificar nos logs do sistema sinais de comprometimento; execute-o em todos os membros do cluster. Se um indicador for encontrado, ou se a verificação não for concluída, a Cisco pede que você entre em contato com o Cisco TAC. Como o acesso root permite que invasores escondam evidências, a Cisco também recomenda revisar os logs de rede e de firewall em busca de envios suspeitos para endereços externos.
Produtos Atlassian Data Center (CVE-2026-21589)
Em 5 de outubro, a Atlassian divulgou uma falha que permite a um invasor não autenticado ler arquivos específicos dentro da raiz da aplicação web em todas as versões do Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo e Crowd Data Center, além de Crucible e Fisheye (CVSS v4.0 9.3, classificação da Atlassian). Ela foi adicionada ao KEV em 15 de outubro. A Atlassian diz que não consegue confirmar se as instâncias dos clientes foram afetadas e recomenda pedir à sua equipe de segurança que as verifique em busca de sinais de comprometimento. Os produtos em nuvem foram corrigidos.
As versões corrigidas variam por produto (por exemplo, Confluence Data Center 9.2.26 e 10.2.19; Jira Software Data Center 9.12.40, 10.3.26 e 11.3.12). Se você não puder atualizar imediatamente, a Atlassian sugere tirar a instância da internet ou restringir o acesso externo e bloquear URLs suspeitas com uma regra de WAF ou de proxy reverso.
O que esses cinco têm em comum
Os cinco ficam em dispositivos ou servidores acessíveis pela internet, e a exploração pode dar ao invasor uma porta de entrada para a rede interna. Mesmo os dois que exigem login (PAN-OS e FortiOS) ficam a uma senha de administrador roubada de serem exploráveis se a interface de gerenciamento estiver aberta para a internet.
Práticas que vão repetir o problema na próxima vez
- Interfaces de gerenciamento acessíveis de qualquer lugar da internet
- Considerar o trabalho concluído quando o patch é aplicado
- Adiar falhas porque exigem login
- Não ter inventário dos produtos e versões em uso
Práticas que limitam o dano na próxima vez
- Interfaces de gerenciamento acessíveis apenas por redes administrativas ou via VPN
- Preservar os logs antes de atualizar e verificar comprometimento com a orientação do fornecedor
- Corrigir falhas listadas no KEV em dias, exijam login ou não
- Um inventário de dispositivos de borda, versões e exposição do gerenciamento
Na visão deste site, um dispositivo de borda não está resolvido só porque foi atualizado. No caso do Ivanti Connect Secure, a CISA escreve que a ferramenta de verificação do próprio fornecedor pode não detectar a exploração, e foi relatada outra falha ainda sem correção. O patch fecha a porta de entrada, mas não remove um invasor que já está dentro. Para dispositivos de borda listados no KEV, trate a atualização, a verificação de comprometimento e a troca de credenciais como uma única tarefa.
Como encontrar interfaces de gerenciamento expostas está em Como defender dispositivos VPN e acesso remoto, e como priorizar usando o KEV está em Como decidir quais CVEs corrigir primeiro (CVSS, EPSS, KEV). No mesmo mês, uma plataforma de gerenciamento de SD-WAN também foi explorada (VeloCloud Orchestrator CVE-2026-114625).
Fontes
- CISA, Known Exploited Vulnerabilities Catalog (feed JSON, versão de 23 de outubro de 2026) — cisa.gov
- CISA, "CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure" (13 de outubro de 2026) — cisa.gov
- Ivanti, Security Advisory Ivanti Connect Secure (CVE-2026-104935) — hub.ivanti.com
- Ivanti, "October 2026 Security Update" (13 de outubro de 2026) — ivanti.com
- Singapore CSA, "Active Exploitation of Vulnerability in Ivanti Connect Secure" (AL-2026-147) — csa.gov.sg
- Análise de uma empresa de segurança dos EUA sobre os ataques ao Ivanti Connect Secure (13 de outubro de 2026) — blog da empresa de segurança
- Palo Alto Networks, "CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface" — security.paloaltonetworks.com
- Fortinet, FG-IR-26-122 "Path Traversal in CLI" (CVE-2025-61624) — fortiguard.fortinet.com
- Cisco, "Cisco Secure Email Gateway Arbitrary File Write Vulnerability" (cisco-sa-esa-afw-zqYJkjxp) — cisco.com
- Atlassian, "CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products" — confluence.atlassian.com
Histórico de atualizações
2026-10-24: Primeira publicação. Baseada nos comunicados dos fornecedores e no catálogo KEV e no alerta da CISA.
Leia a seguir
- Defesa de dispositivos expostos: Como defender dispositivos VPN e acesso remoto
- Priorização de correções: Como decidir quais CVEs corrigir primeiro (CVSS, EPSS, KEV)
- Explorada no mesmo mês: VeloCloud Orchestrator CVE-2026-114625
- Verificação de comprometimento: Como verificar se o seu servidor foi comprometido
- Termos: O que é path traversal? / O que é CVSS?