Para: administradores do Ivanti Connect Secure (appliances de VPN). Esta página se baseia no catálogo KEV e no alerta da CISA, no NVD e no blog de uma empresa de pesquisa; não contém passos de ataque nem código de exploit. Não conseguimos ler o aviso da própria Ivanti (a página não carregou), então os números das versões corrigidas não são dados aqui.
Em andamento: esta página será atualizada conforme mais for publicado
Em 31 de outubro de 2026 (JST)Ainda não se sabe
- Versões corrigidas de cada uma das três falhas (não conseguimos ler o aviso da Ivanti)
- Se existe uma correção para a CVE-2026-118527
- O registro do NVD da CVE-2026-118527 (não encontrado no NVD em nossa verificação)
- Quantas organizações foram afetadas e quem está por trás dos ataques
A CISA adicionou a CVE-2026-111357 e a CVE-2026-118527 ao seu catálogo KEV em 30 de outubro e atualizou seu alerta no mesmo dia. A CVE-2026-104935 foi adicionada em 13 de outubro. Verificamos o feed KEV da CISA, o alerta da CISA, o NVD e o blog da empresa de pesquisa em 31 de outubro.
O que fazer hoje
Liste seus appliances Connect Secure e as versões
Inclua os appliances virtuais e em nuvem. A CISA lista como afetadas 25.1.1.2 e anteriores, 25.1.2.2 e anteriores, e 22.8R2.5 e anteriores. A versão 22.8 chega ao fim da vida útil em 31 de janeiro de 2027, segundo a CISA, então planeje também a migração para a 25.x.
Atualize para a versão mais recente
A CISA orienta as organizações a atualizar para a versão mais recente conforme o aviso da Ivanti e seu guia de compatibilidade de atualização e migração para a 25.x. Não conseguimos ler o aviso, então confirme lá a versão corrigida da sua linha antes de começar.
Verifique se houve comprometimento, não apenas se o patch foi aplicado
A empresa de pesquisa e a CISA dizem que o Integrity Checker pode não detectar a exploração da CVE-2026-104935. A CISA diz que determinar o comprometimento exige análises forenses de rede e de memória. Se o appliance estava acessível pela internet desde o início de outubro, peça ao seu provedor de resposta a incidentes que faça isso antes da atualização ou junto com ela (nosso julgamento). Revise também as tentativas de movimentação lateral originadas no appliance, como sugere a empresa de pesquisa.
Se houver suspeita de comprometimento, reconstrua e redefina as credenciais
A orientação da CISA do alerta de 13 de outubro cobre isso: faça backup da configuração, restaure o estado de fábrica e atualize (reconstrua os appliances virtuais e em nuvem), restaure a configuração e depois substitua as credenciais. Isso significa as senhas de contas de domínio, de administração e locais, os certificados armazenados no appliance, as chaves de API e as credenciais do servidor de licenças.
Corte o que for possível alcançar até ter certeza
Restrinja a interface de gerenciamento do appliance a uma rede de administração e revise o que o appliance consegue alcançar dentro da sua rede. Decida de antemão como a equipe remota se conectará se for preciso tirá-lo do ar.
Três falhas que se encadeiam
- CVE-2026-104935
- Desvio de autenticação por falsificação; um invasor remoto não autenticado pode executar comandos arbitrários (KEV da CISA, adicionado em 13 de outubro). Tratado em nosso resumo de outubro
- CVE-2026-111357
- Falta de autenticação em uma função crítica (CISA); o NVD descreve uma falha que leva à escalada de privilégios para root. CVSS v3.1 7,0 (local, complexidade alta, privilégios baixos). Adicionado ao KEV em 30 de outubro; prazo 2 de novembro; triagem forense: sim
- CVE-2026-118527
- Geração de identificadores previsíveis (CWE-340); um invasor remoto autenticado pode enviar arquivos com conteúdo controlado pelo invasor para um local conhecido do disco. Adicionado ao KEV em 30 de outubro; prazo 13 de novembro; triagem forense: não
- Cadeia
- A CISA diz que a CVE-2026-111357 e a CVE-2026-118527 podem ser encadeadas cada uma com a CVE-2026-104935 (e entre si). A CISA diz que a exploração permite a execução remota e não autenticada de comandos arbitrários, usada para roubo de credenciais e exfiltração de dados
- Afetadas
- 25.1.1.2 e anteriores, 25.1.2.2 e anteriores, 22.8R2.5 e anteriores (alerta da CISA, atualizado em 30 de outubro)
- Correções
- CVE-2026-104935: patches lançados em 13 de outubro (empresa de pesquisa). CVE-2026-111357: a empresa de pesquisa diz que um patch foi publicado em 29 de outubro. CVE-2026-118527: não encontrada. Confirme no aviso da Ivanti
Por que a pontuação CVSS é de apenas 7,0: sozinha, a CVE-2026-111357 precisa de acesso local e de uma conta com poucos privilégios. A pontuação não reflete a cadeia. Segundo o relatório da empresa de pesquisa, combinar um desvio de autenticação, uma falha de manipulação de arquivos e esta escalada de privilégios deu controle em nível de root, sem autenticação, de um appliance que estava totalmente atualizado na época (22.8R2.4). Avalie seu risco pela cadeia, não pela pontuação isolada (nosso julgamento).
As listas de versões não coincidem exatamente. A descrição do NVD da CVE-2026-111357 cita a 22.8R2.4, enquanto a lista de afetados do NVD inclui de 22.8R2 a 22.8R2.5 e as versões 25.1 anteriores à 25.1.1.3. A lista da CISA é mais ampla (25.1.2.2 e anteriores). Use a lista mais ampla até que o aviso da Ivanti esclareça.
1. Desvio de autenticação
CVE-2026-104935 (KEV 13 out)
2. Upload de arquivo
CVE-2026-118527 (KEV 30 out)
3. Escalada de privilégios para root
CVE-2026-111357 (KEV 30 out)
Linha do tempo
3 de outubro
Uma empresa de pesquisa dos EUA diz que viu a exploração começar (seu blog, publicado em 13 de outubro).13 de outubro
Segundo a empresa de pesquisa, a Ivanti publica patches para o desvio de autenticação; a CISA adiciona a CVE-2026-104935 ao KEV; a empresa de pesquisa publica suas descobertas.29 de outubro
A empresa de pesquisa atualiza seu blog para dizer que a Ivanti publicou um patch para a escalada de privilégios.30 de outubro
A CISA adiciona a CVE-2026-111357 (prazo 2 de novembro) e a CVE-2026-118527 (prazo 13 de novembro) ao KEV e atualiza seu alerta e as versões afetadas.
O que se sabe e o que não se sabe
| Item | Situação |
|---|---|
| Exploração | A CISA lista as três no KEV; diz-se que os invasores roubam credenciais e dados |
| Início da exploração | 3 de outubro, segundo uma empresa de pesquisa; não confirmado pela Ivanti no que pudemos ler |
| Versões corrigidas | Não confirmadas por nós; o aviso da Ivanti não carregou |
| Correção da CVE-2026-118527 | Não encontrada |
| NVD para a CVE-2026-111357 | Analisado; CVSS 7,0 fornecido pelo registro do CVE.org; o coordenador da CISA marca a exploração como «ativa» e o impacto técnico como «total» |
| NVD para a CVE-2026-118527 | Registro não encontrado em nossa verificação |
| Quem ataca e quantas vítimas há | Não divulgado |
Fontes
Verificadas em 31 de outubro de 2026 (JST).
- CISA, Known Exploited Vulnerabilities Catalog (CVE-2026-111357 e CVE-2026-118527 adicionadas em 30 de outubro de 2026) — cisa.gov
- CISA, «CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure» (atualizado em 30 de outubro de 2026) — cisa.gov
- NVD, CVE-2026-111357 — nvd.nist.gov
- Ivanti, «Security Advisory Ivanti Connect Secure (CVE-2026-104935)» — hub.ivanti.com (não carregou quando verificamos; as versões corrigidas devem ser confirmadas aqui)
- Blog de uma empresa de pesquisa em segurança, «A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days» (13 de outubro de 2026, atualizado em 29 de outubro) — blog
Histórico de atualizações
2026-10-31: Primeira versão, com base no catálogo KEV e no alerta da CISA, no NVD e no blog de uma empresa de pesquisa.
Leia a seguir
- A primeira falha da cadeia: Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026
- Defender dispositivos VPN: Como defender dispositivos VPN e o acesso remoto
- Priorizar as correções: Como decidir quais CVEs corrigir primeiro (CVSS, EPSS, KEV)
- Passos de resposta: Guia de correção de vulnerabilidades
- Termos: O que é CVSS?