A CISA, agência de segurança cibernética dos Estados Unidos, incluiu em 30 de outubro duas vulnerabilidades do Ivanti Connect Secure em seu catálogo de falhas exploradas, o KEV. O aviso oficial cita CVE-2026-111357 e CVE-2026-118527 e afirma que a inclusão se baseia em evidência de exploração ativa. Não é apenas uma possibilidade descrita em laboratório.
O detalhe operacional é que aplicar uma correção e verificar comprometimento são tarefas diferentes. Na entrada da CVE-2026-111357, a CISA marca triagem forense como necessária conforme sua diretiva. Para uma empresa brasileira com esse equipamento de VPN, o sinal útil é priorizar a revisão da exposição, sem tratar o prazo federal americano como uma regra brasileira.
OVERRATED ↑
tratar a instalação do patch como prova de que ninguém entrou antes
UNDERRATED ↓
separar correção, exposição do equipamento e investigação de comprometimento
Duas entradas, uma cadeia de exploração
A descrição da CISA para a CVE-2026-111357 aponta ausência de autenticação numa função crítica, com possibilidade de elevação de privilégios por um atacante local autenticado. A CVE-2026-118527 envolve identificadores previsíveis e permite que um atacante remoto autenticado envie conteúdo para um local conhecido no disco.
Esses pré-requisitos não devem ser apagados da explicação de cada falha. O risco de entrada sem login aparece na combinação com a CVE-2026-104935, também citada nas duas entradas. A investigação original da Volexity descreve uma cadeia que reuniu desvio de autenticação, execução remota de código e elevação de privilégios para chegar a execução com privilégios de root sem autenticação prévia.
A investigação foi publicada em 13 de outubro. Uma atualização no topo informa que a Ivanti publicou em 29 de outubro um patch para a vulnerabilidade de elevação de privilégios, identificada como CVE-2026-111357. Isso evita repetir como atual o trecho antigo do mesmo texto que ainda fala de uma correção futura.
O que a investigação encontrou
A Volexity relata reconhecimento do ambiente, roubo de credenciais e extração de dados após o comprometimento. Também explica que a ferramenta de verificação de integridade da Ivanti pode não detectar essa atividade, porque a cadeia observada alterava código em memória sem modificar a biblioteca correspondente no disco.
O ponto não é descartar a ferramenta, mas entender seu limite naquele caso. A recomendação da empresa de investigação é aplicar os patches publicados e, diante de suspeita de comprometimento, fazer análise forense de rede e memória. Uma checagem sem alertas não deve ser apresentada como certificado de que a intrusão não ocorreu.
A cobertura do The Hacker News de 31 de outubro reúne as novas inclusões e as correções. Para o requisito de triagem e o alcance das obrigações, esta matéria usa o catálogo e a diretiva atuais da CISA.
Os prazos não são iguais
As entradas do KEV registram 2 de novembro de 2026 para a CVE-2026-111357 e 13 de novembro de 2026 para a CVE-2026-118527. Na consulta, a primeira estava marcada com triagem forense obrigatória; a segunda, não. Em ambas, o uso conhecido em campanhas de ransomware aparece como desconhecido, não como confirmado.
O comunicado remete à BOD 26-04, que organiza a prioridade por fatores como exposição pública e impacto da exploração. A obrigação se aplica às agências civis do Executivo federal americano. A CISA incentiva outras organizações a priorizar as falhas do catálogo, mas isso não cria o mesmo prazo legal para todas as empresas.
O que isso significa no Brasil
Equipes que administram Connect Secure precisam conferir a versão instalada e o caminho de atualização compatível com seu equipamento. A documentação de migração da Ivanti distingue trajetos por versão e plataforma; não é prudente presumir que qualquer salto seja suportado.
A prioridade é combinar atualização com avaliação dos sinais de acesso indevido. O guia do The Zero sobre gerenciadores de senhas cobre a proteção cotidiana de credenciais, mas não substitui investigação ou recuperação de um equipamento comprometido. O alerta não fornece uma contagem de vítimas brasileiras, portanto não permite estimar quantas empresas do país foram atingidas.
.jpg){kind=link}