---
title: "Ivanti corrige dois zero-days explorados no Connect Secure"
author: "Lígia Lemos Maia"
date: "2026-11-04 06:22:48.46-03"
category: "Segurança & Privacidade"
url: "http://desbugados.scale.press/portal/desbugados/post/2026/11/04/ivanti-corrige-dois-zero-days-explorados-no-connect-secure/md"
---

## Resumo
- A Ivanti corrigiu as CVEs CVE-2026-111357 e CVE-2026-118527 no Connect Secure.
- As falhas foram exploradas em conjunto com a CVE-2026-104935 pelo grupo UTA0576.
- A cadeia permitiu acesso root não autenticado, roubo de credenciais e exfiltração de dados.
- A CISA incluiu os dois registros no catálogo de Vulnerabilidades Conhecidas Exploradas.
- As versões corrigidas são 25.1.1.3 e 22.8R2.6.
- A CISA exige triagem forense para a CVE-2026-111357 e avaliação de ativos expostos à internet.

---

A **Ivanti** corrigiu duas vulnerabilidades classificadas como zero-day, já exploradas quando a correção ainda não estava disponível, no Connect Secure. As falhas foram usadas em uma cadeia de ataques e agora exigem mais do que a aplicação do primeiro patch: organizações que atualizaram apenas a CVE-2026-104935 precisam revisar novamente seus dispositivos. O [aviso da Ivanti](https://www.securityweek.com/ivanti-patches-two-more-zero-days-exploited-in-connect-secure-attack-chain) coloca a atualização no centro da resposta.


## Uma correção em duas camadas


As versões corrigidas são a **25.1.1.3** e a **22.8R2.6**. A CVE-2026-111357 recebeu pontuação CVSS 8.8 e permite elevação local de privilégios, enquanto a CVE-2026-118527, com CVSS 4.3, possibilita o upload remoto de arquivos. As duas falhas foram acrescentadas ao aviso original de 13 de outubro, que tratava da CVE-2026-104935, transformando uma correção isolada em uma atualização necessária para fechar a cadeia.


A urgência ganhou uma marca institucional quando a **CISA** adicionou os dois registros ao catálogo de Vulnerabilidades Conhecidas Exploradas, conhecido pela sigla KEV. O catálogo confirma que as falhas podem ser encadeadas à CVE-2026-104935 e exige triagem forense para a CVE-2026-111357, além da avaliação de ativos expostos à internet. A orientação completa está no [catálogo da CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog), que também direciona as equipes para suas regras de priorização.


## Quando três falhas viram uma porta


A cadeia foi explorada pelo grupo **UTA0576** desde pelo menos 3 de outubro. Combinadas, as três vulnerabilidades permitiram obter acesso root sem autenticação, isto é, o nível mais alto de privilégio no sistema. Os invasores concentraram a operação no roubo de credenciais e na exfiltração de dados, sem implantar malware persistente ou web shells, o que tornou a ausência de arquivos maliciosos uma pista insuficiente para descartar o ataque.


Esse método também alcançou informações que ampliam o risco para além do equipamento vulnerável. Os atacantes fizeram reconhecimento do host, procuraram senhas administrativas e buscaram chaves de recuperação do **BitLocker** para aprofundar o acesso a sistemas sensíveis. A alteração de logs serviu para dificultar a reconstrução dos acontecimentos, fazendo da investigação posterior uma parte necessária da resposta, e não uma etapa opcional depois da atualização.


## O que a atualização precisa encerrar


As versões afetadas incluem a **25.1.1.2** e anteriores, além da **22.8R2.5** e anteriores. Por isso, ter aplicado o patch liberado para a CVE-2026-104935 não basta para considerar o Connect Secure protegido contra essa sequência. A recomendação documentada é atualizar todos os clientes para 25.1.1.3 ou 22.8R2.6 e, no caso da CVE-2026-111357, realizar a triagem forense indicada pela CISA.


Para agências federais dos Estados Unidos, os prazos determinados pela CISA terminam em **2 de novembro** para a CVE-2026-111357 e em **13 de novembro** para a CVE-2026-118527. O próximo passo, portanto, não é apenas instalar o pacote: é verificar a exposição do ativo, preservar sinais que possam esclarecer o acesso e confirmar que a versão corrigida encerrou a cadeia. Entre a tela que informa uma atualização concluída e os vestígios que um invasor pode ter deixado, permanece a pergunta silenciosa de toda resposta a um zero-day: quando exatamente o sistema voltou a ser confiável?