Traduzido do inglês pela TechUpscale com ajuda de IA e verificado com o original. Ler o original em inglês
A Agência de Segurança de Infraestrutura e Cibersegurança dos EUA (CISA) adicionou CVE-2026-111357, uma vulnerabilidade de falta de autenticação para função crítica no Ivanti Connect Secure, ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) em 30 de outubro de 2026. A CISA adiciona uma falha ao catálogo quando há evidências confiáveis de que os atacantes a estão explorando ativamente.
O que diz a CISA
O Ivanti Connect Secure contém uma vulnerabilidade de falta de autenticação para função crítica que pode permitir que um atacante local autenticado eleve seus privilégios. Esta vulnerabilidade pode ser encadeada com CVE-2026-104935 e CVE-2026-118527.
— Entrada do catálogo KEV da CISA para CVE-2026-111357
Principais factos
| CVE | CVE-2026-111357 |
|---|---|
| Fornecedor / produto | Ivanti Connect Secure |
| Adicionado ao KEV | 30 de outubro de 2026 |
| Prazo federal | 2 de novembro de 2026 |
| Uso de ransomware conhecido | Desconhecido |
| Fraqueza (CWE) | CWE-306, CWE-862, CWE-345 |
| Triagem forense da CISA | Sim |
| Pontuação base CVSS (NVD) | 7 Alto |
| Vetor CVSS | CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
Quem deve agir e até quando
As agências do poder executivo civil federal dos EUA são obrigadas a corrigir a vulnerabilidade até 2 de novembro de 2026. A CISA insta todas as organizações a priorizarem as falhas listadas no KEV como parte de sua gestão de vulnerabilidades.
A ação exigida pela CISA para esta entrada:
Aplique as mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação da BOD 26-04 da CISA “Priorizando atualizações de segurança com base no risco” (consulte o URL nas notas) e os “Requisitos de triagem forense” da CISA (consulte o URL nas notas). Siga a orientação aplicável da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. As partes interessadas são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção da BOD 26-04.
Referências
- Catálogo de Vulnerabilidades Exploradas Conhecidas da CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NIST NVD — CVE-2026-111357 https://nvd.nist.gov/vuln/detail/CVE-2026-111357
- hub.ivanti.com https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US
- www.cisa.gov https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk