A CISA, órgão americano de cibersegurança, incluiu na sexta-feira, 30 de outubro de 2026, duas falhas da VPN Ivanti Connect Secure no seu catálogo de vulnerabilidades exploradas. Uma delas, que deixa o invasor virar administrador total do equipamento, tem prazo de correção até segunda, 2 de novembro, para os órgãos federais dos Estados Unidos. A Ivanti publicou a correção dessa falha em 29 de outubro, depois de mais de duas semanas sem patch.
Por que importa para você: empresas médias, redes de lojas, clínicas e prestadores de TI que usam a Ivanti Connect Secure para dar acesso remoto à equipe estão na mira de uma cadeia de ataques que já roubou senhas da rede, credenciais do Active Directory e chaves de recuperação de disco. Se a sua VPN é Ivanti, este é o fim de semana de atualizar.
O que a CISA e os pesquisadores divulgaram
- CVE-2026-111357, falta de autenticação numa função crítica, que permite escalar privilégio. Prazo da CISA: 2 de novembro de 2026. A CISA pede, além da correção, uma verificação de sinais de invasão no equipamento.
- CVE-2026-118527, geração de identificadores previsíveis, que permite gravar no equipamento arquivos com conteúdo do atacante. Prazo da CISA: 13 de novembro de 2026.
- As duas se encaixam com uma terceira, a CVE-2026-104935, segundo o catálogo da CISA.
- A cadeia completa, descrita pela empresa de segurança Volexity, tem três passos: passar pela autenticação sem senha, executar código aproveitando uma condição de corrida no envio de arquivos e, por fim, virar "root", o administrador total do sistema.
- O que os invasores levaram, segundo a Volexity: credenciais LDAP e do Active Directory, senhas de administrador local gerenciadas pelo LAPS e chaves de recuperação do BitLocker, além de mexer nos registros do equipamento para apagar rastros.
- Correção. Pela Volexity, a Ivanti publicou em 29 de outubro o patch da CVE-2026-111357, que estava sem correção desde 13 de outubro.
Por que essa cadeia é tão grave
A VPN fica na porta da rede. Quem domina o equipamento passa a ver as credenciais de quem entra por ele. Com o Active Directory e as chaves do BitLocker na mão, o invasor consegue ir muito além da VPN: entra nos servidores, nos computadores e, em tese, consegue abrir discos criptografados. Por isso a CISA pede não só atualizar, mas procurar sinais de que alguém já passou por ali.
O que fazer agora
- Descubra se a empresa usa Ivanti Connect Secure (o antigo Pulse Secure). Pergunte a quem cuida da rede ou ao fornecedor de TI.
- Atualize para a versão mais recente indicada pela Ivanti no aviso de segurança do produto. Não fique numa versão intermediária.
- Procure sinais de invasão mesmo depois de atualizar. A correção fecha a porta, mas não expulsa quem já entrou. Siga os passos de verificação e recuperação indicados pelo fabricante.
- Troque as credenciais que passaram pela VPN se houver qualquer suspeita: senhas de usuários, contas de serviço e senhas de administrador local.
- Revise as chaves de recuperação do BitLocker com o time de TI, se a empresa usa criptografia de disco no Windows.
- Confira os registros do equipamento e do Active Directory em busca de acessos fora do horário, contas novas ou registros apagados.
- Se não der para atualizar já, avalie com o técnico tirar a VPN da internet temporariamente e oferecer outro caminho de acesso à equipe.
O que ainda não se sabe
- A versão exata da Connect Secure que corrige as falhas CVE-2026-111357 e CVE-2026-118527: o aviso da Ivanti não pôde ser lido por nós. A versão 22.8R2.4 é citada no registro público da CVE-2026-111357, mas não confirmamos se é a versão corrigida.
- A nota de gravidade da CVE-2026-118527.
- Se há vítimas no Brasil.
Onde a Oneck entra
VPN de acesso remoto é daquelas peças que funcionam em silêncio até o dia em que viram a porta de entrada. A frente de Software & Sistemas da Oneck Creative ajuda empresas a mapear o que está exposto na internet, organizar as atualizações e revisar quem tem acesso a quê. Se você tem uma Ivanti na rede e não sabe em que versão ela está, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: CISA: catálogo de vulnerabilidades exploradas (feed oficial, versão 2026.10.30); CISA: catálogo de vulnerabilidades exploradas; Volexity: exploração encadeada de zero-days da Ivanti Connect Secure; Ivanti: aviso de segurança da Connect Secure; OpenCVE: CVE-2026-111357.