Atacante encadeia tres zero-days em equipamentos VPN da Ivanti para obter acesso root total, e apenas dois foram corrigidos

Um atacante encadeou tres falhas zero-day no Ivanti Connect Secure, um appliance de VPN amplamente usado, para executar comandos como root sem nunca fazer login. A firma de seguranca Volexity detectou a invasao em um appliance totalmente corrigido com a versao 22.8R2.4, com a campanha rastreada como UTA0576 e exploracao iniciada em 3 de outubro.

A Ivanti liberou correcoes para apenas duas das tres falhas. As duas primeiras, um bypass de autenticacao somado a uma execucao remota de codigo rastreada como CVE-2026-104935, entregam execucao de codigo como o usuario cgi-server, enquanto a terceira e uma escalacao de privilegios que eleva esse acesso ate root. A correcao da escalacao ainda esta pendente e prometida para as proximas semanas.

O risco e enorme: a Ivanti avalia a falha em 8,6 de 10, e a agencia de ciberseguranca dos EUA (CISA) marca a exploracao como ativa com impacto tecnico considerado total. O atacante roubou credenciais armazenadas, incluindo credenciais de dominio LDAP, vasculhou o Active Directory em busca de senhas e disparou ataques de password spraying. A propria ferramenta Integrity Checker da Ivanti nao detecta a cadeia, porque o exploit altera codigo de biblioteca apenas em memoria. Se a sua organizacao depende de uma VPN para proteger o acesso remoto, este e um alerta claro para blindar cada ponto de entrada com conexoes criptografadas e reforcadas.