Traduzido do inglês pela TechUpscale com ajuda de IA e verificado com o original. Ler o original em inglês
A Agência de Segurança de Infraestrutura e Cibersegurança dos EUA (CISA) adicionou o CVE-2026-111357, uma vulnerabilidade de falta de autenticação para função crítica no Ivanti Connect Secure, ao seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) em 30 de outubro de 2026. A CISA adiciona uma falha ao catálogo quando há evidências confiáveis de que invasores a estão explorando ativamente em ambientes reais.
O que a CISA diz
O Ivanti Connect Secure contém uma vulnerabilidade de falta de autenticação para função crítica que pode permitir que um invasor local autenticado eleve seus privilégios. Esta vulnerabilidade pode ser encadeada com CVE-2026-104935 e CVE-2026-118527.
— Entrada no catálogo KEV da CISA para o CVE-2026-111357
Principais fatos
| CVE | CVE-2026-111357 |
|---|---|
| Fornecedor / produto | Ivanti Connect Secure |
| Adicionado ao KEV | 30 de outubro de 2026 |
| Prazo federal | 2 de novembro de 2026 |
| Uso de ransomware conhecido | Desconhecido |
| Fraqueza (CWE) | CWE-306, CWE-862, CWE-345 |
| Triagem forense da CISA | Sim |
| Pontuação base CVSS (NVD) | 7 Alto |
| Vetor CVSS | CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
Quem deve agir e até quando
As agências do poder executivo civil federal dos EUA devem corrigir a vulnerabilidade até 2 de novembro de 2026. A CISA insta todas as organizações a priorizarem as falhas listadas no KEV como parte de sua gestão de vulnerabilidades.
Ação exigida pela CISA para esta entrada:
Aplique as mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 da CISA, “Priorizando Atualizações de Segurança com Base no Risco” (consulte o URL nas Notas) e os “Requisitos de Triagem Forense” da CISA (consulte o URL nas Notas). Siga a orientação aplicável da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. As partes interessadas são responsáveis por avaliar a exposição de cada ativo na internet e garantir a adesão às diretrizes de correção da BOD 26-04.
Referências
- Catálogo de Vulnerabilidades Conhecidas Exploradas da CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NIST NVD — CVE-2026-111357 https://nvd.nist.gov/vuln/detail/CVE-2026-111357
- hub.ivanti.com https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US
- www.cisa.gov https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk
Nossa análise: o que significa o CVE-2026-111357 e o que fazer
Resumo: O Ivanti Connect Secure contém uma vulnerabilidade de falta de autenticação que permite aos invasores elevarem privilégios. De acordo com o NVD, a versão 22.8R2.4 lida incorretamente com a forma como o corretor dsinvoked confia nos dados de configuração do DSCache, levando à elevação de privilégios para root. A CISA exige a aplicação de mitigações do fornecedor e a adesão às diretrizes da BOD 26-04.
Como a falha funciona
De acordo com a CISA, o Ivanti Connect Secure contém uma falha de falta de autenticação para uma função crítica. Além disso, o NVD afirma que a versão 22.8R2.4 gerencia incorretamente a maneira como o corretor dsinvoked confia nos dados de configuração do DSCache. Essa falha permite que um invasor local autenticado eleve seus privilégios.
O que um invasor pode fazer
De acordo com o NVD, a fraqueza leva à elevação de privilégios para root. A CISA observa que essa vulnerabilidade pode ser encadeada com CVE-2026-104935 e CVE-2026-118527.
Qual é a gravidade
| Gravidade (NVD) | 7 Alto |
|---|---|
| Onde o invasor precisa estar | Já no dispositivo (acesso local) |
| Quão difícil é o ataque | Alto: requer condições específicas |
| Login necessário | Uma conta de usuário básica |
| Interação da vítima | Nenhuma: ninguém precisa clicar em nada |
| Exposição de dados | Alto: o invasor pode ler dados confidenciais |
| Adulteração | Alto: o invasor pode alterar dados ou código |
| Interrupção | Alto: o invasor pode derrubar o sistema |
Leitura em inglês simples do vetor CVSS CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H.
Sinais de ameaça
- Explorado no mundo real: listado pela CISA em 30 de out; as agências federais dos EUA devem corrigi-lo até 2 de nov.
- KEV do VulnCheck: relatado como explorado (listado em 16 de out), 2 relatórios. 14 dias antes da CISA. Primeiro relatório: nvd.nist.gov.
- Probabilidade (EPSS): 0,32% de chance de atividade de exploração nos próximos 30 dias, superior a 25% de todos os CVEs.
- Avaliação da CISA (SSVC): exploração observada; não facilmente automatizada; controle total do sistema afetado.
Quem deve agir primeiro
De acordo com a CISA, as partes interessadas são responsáveis por avaliar a exposição de cada ativo na internet e garantir a adesão às diretrizes de correção da BOD 26-04, com prazo exigido para 2026-11-02.
Como corrigir
- Aplique mitigações de acordo com as instruções do fornecedor.
- Garanta a conformidade com a orientação da BOD 26-04 da CISA, “Priorizando Atualizações de Segurança com Base no Risco” e os Requisitos de Triagem Forense da CISA.
- Siga a orientação aplicável da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis.
Se você ainda não puder aplicar o patch
As fontes oficiais não listam uma solução alternativa. Ação exigida pela CISA: Aplique mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 da CISA, “Priorizando Atualizações de Segurança com Base no Risco” e os “Requisitos de Triagem Forense” da CISA. Siga a orientação aplicável da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. As partes interessadas são responsáveis por avaliar a exposição de cada ativo na internet e garantir a adesão às diretrizes de correção da BOD 26-04.
Cronograma
- 15 de out de 2026: publicado no banco de dados de vulnerabilidades do NIST
- 30 de out de 2026: CISA confirma exploração ativa
- 2 de nov de 2026: prazo para agências federais dos EUA aplicarem o patch
Fontes
- Registro do NVD para CVE-2026-111357
- Catálogo de vulnerabilidades exploradas conhecidas da CISA
- Aviso do fornecedor: hub.ivanti.com
- MITRE CWE-829
- FIRST Exploit Prediction Scoring System (EPSS)
- CISA Vulnrichment (avaliação SSVC)
- VulnCheck KEV (relatórios de exploração; dados © VulnCheck)
Esta análise foi escrita a partir das fontes oficiais acima e verificada com base nelas antes da publicação. Os detalhes da versão vêm do banco de dados do NIST e podem mudar à medida que os fornecedores atualizam seus avisos; confirme sempre a versão corrigida no aviso do fornecedor.