Ivanti

Observações de inteligência de ameaças indicam que um único ator é responsável pela exploração ativa de duas vulnerabilidades críticas no Ivanti Endpoint Manager Mobile (EPMM), identificadas como CVE-2026-21962 e CVE-2026-24061. Ambas as falhas, que permitem a execução remota de código (RCE) sem autenticação, foram destacadas em um aviso de segurança da Ivanti, que também anunciou correções temporárias. A empresa de inteligência GreyNoise revelou que um único endereço IP, hospedado em uma infraestrutura ‘à prova de balas’, é responsável por mais de 83% das atividades de exploração relacionadas a essas vulnerabilidades. Entre 1 e 9 de fevereiro, foram observadas 417 sessões de exploração, com um pico significativo em 8 de fevereiro, quando 269 sessões foram registradas em um único dia. A maioria das sessões utilizou callbacks DNS do tipo OAST, sugerindo atividade de corretores de acesso inicial. As correções da Ivanti não são permanentes, e a empresa planeja lançar patches completos no primeiro trimestre deste ano. Até lá, recomenda-se a utilização de pacotes RPM específicos para versões vulneráveis do EPMM.

Recentemente, uma falha de segurança crítica no Ivanti Endpoint Manager Mobile (EPMM), identificada como CVE-2026-1281, tem sido alvo de exploração ativa. A empresa de inteligência em segurança GreyNoise registrou 417 tentativas de exploração entre 1 e 9 de fevereiro de 2026, com 83% dessas tentativas originando-se de um único endereço IP, 193.24.123[.]42, associado a uma infraestrutura de hospedagem resistente a ações legais, conhecida como PROSPERO. Essa vulnerabilidade permite a execução remota de código não autenticado, colocando em risco a segurança de organizações que utilizam o EPMM. Além disso, a análise revelou que o mesmo IP está explorando outras vulnerabilidades em softwares não relacionados, o que sugere o uso de ferramentas automatizadas para esses ataques. Agências europeias, incluindo a Autoridade de Proteção de Dados da Holanda, confirmaram que foram alvos de ataques utilizando essas falhas. A Ivanti já reconheceu que um número limitado de clientes foi impactado. Especialistas recomendam que os usuários do EPMM apliquem patches de segurança, auditem suas infraestruturas e monitorem atividades suspeitas para mitigar riscos.

A Comissão Europeia foi alvo de um ciberataque que comprometeu a infraestrutura de gestão de dispositivos móveis da organização. O ataque, identificado no final de janeiro de 2026, resultou no vazamento de dados sensíveis de alguns funcionários, incluindo nomes e números de telefone. Apesar da gravidade do incidente, a Comissão afirmou que a invasão foi rapidamente contida, evitando danos maiores. Uma varredura completa do sistema foi realizada em aproximadamente 9 horas, e não foram encontrados indícios de que os dispositivos tivessem sido totalmente comprometidos.

As autoridades da Holanda, incluindo a Autoridade de Proteção de Dados (AP) e o Conselho da Judiciária, relataram que seus sistemas foram comprometidos por ataques cibernéticos que exploraram falhas de segurança recentemente divulgadas no Ivanti Endpoint Manager Mobile (EPMM). Em um comunicado ao parlamento, foi informado que dados de funcionários, como nomes e endereços de e-mail corporativos, foram acessados por pessoas não autorizadas. O Centro Nacional de Segurança Cibernética (NCSC) foi notificado sobre as vulnerabilidades em 29 de janeiro de 2026, e a Ivanti lançou patches para corrigir as falhas críticas (CVE-2026-1281 e CVE-2026-1340) no mesmo dia. Além disso, a Comissão Europeia também identificou indícios de um ataque cibernético em sua infraestrutura, embora tenha contido o incidente rapidamente. A empresa de tecnologia Valtori, da Finlândia, também relatou uma violação que expôs dados de até 50.000 funcionários do governo. Especialistas alertam que os ataques são realizados por atores altamente qualificados e bem financiados, e enfatizam a importância da resiliência em sistemas de segurança.

A Comissão Europeia está investigando um ataque cibernético que comprometeu sua plataforma de gestão de dispositivos móveis, identificando vestígios de acesso não autorizado a informações pessoais de alguns funcionários, como nomes e números de telefone. Embora a Comissão tenha agido rapidamente, contendo o incidente em menos de 9 horas e não detectando comprometimento dos dispositivos móveis, a situação levanta preocupações sobre a segurança de infraestruturas críticas. O ataque está possivelmente relacionado a vulnerabilidades conhecidas no software Ivanti Endpoint Manager Mobile (EPMM), que também afetou outras instituições europeias, como a Autoridade de Proteção de Dados da Holanda. A Ivanti havia alertado sobre duas falhas críticas (CVE-2026-1281 e CVE-2026-1340) que permitiam a execução remota de código em dispositivos não corrigidos. A Comissão Europeia, que recentemente propôs novas legislações de cibersegurança, agora enfrenta o desafio de reforçar suas defesas contra ataques de grupos apoiados por estados e cibercriminosos.

A Ivanti divulgou duas vulnerabilidades críticas em seu software Ivanti Endpoint Manager Mobile (EPMM), identificadas como CVE-2026-1281 e CVE-2026-1340, que estão sendo exploradas em ataques zero-day. Ambas as falhas são vulnerabilidades de injeção de código que permitem que atacantes remotos executem códigos arbitrários em dispositivos vulneráveis sem necessidade de autenticação, apresentando um CVSS de 9.8. A empresa confirmou que um número muito limitado de clientes teve suas soluções exploradas até o momento da divulgação. Para mitigar os riscos, a Ivanti lançou scripts RPM para as versões afetadas do EPMM, sem necessidade de downtime. Contudo, os patches não sobrevivem a atualizações de versão e devem ser reaplicados após upgrades. A exploração bem-sucedida dessas vulnerabilidades pode permitir acesso a informações sensíveis, como nomes de usuários, endereços de e-mail e dados de dispositivos móveis gerenciados. A CISA dos EUA incluiu a CVE-2026-1281 em seu catálogo de Vulnerabilidades Conhecidas Exploitadas, reforçando a urgência da aplicação das correções. A Ivanti recomenda que, em caso de comprometimento, os administradores restauram o EPMM a partir de um backup conhecido e realizem ações de segurança adicionais, como redefinir senhas de contas e revogar certificados públicos.

A Ivanti anunciou a liberação de atualizações de segurança para corrigir duas vulnerabilidades críticas no Ivanti Endpoint Manager Mobile (EPMM), que foram exploradas em ataques zero-day. As falhas, identificadas como CVE-2026-1281 e CVE-2026-1340, possuem uma pontuação CVSS de 9.8, permitindo a execução remota de código não autenticado. As versões afetadas incluem EPMM 12.5.0.0 e anteriores, 12.6.0.0 e anteriores, e 12.7.0.0 e anteriores. A correção será incluída na versão 12.8.0.0, prevista para ser lançada no primeiro trimestre de 2026. A Ivanti alertou que um número limitado de clientes teve suas soluções comprometidas e recomendou que os usuários verifiquem logs de acesso e mudanças de configuração para identificar possíveis explorações. A CISA adicionou a CVE-2026-1281 ao seu catálogo de vulnerabilidades conhecidas, exigindo que agências federais dos EUA apliquem as atualizações até 1º de fevereiro de 2026. As falhas afetam funcionalidades específicas do EPMM, mas não impactam outros produtos da Ivanti, como o Ivanti Neurons para MDM e o Ivanti Sentry.

Recentemente, Fortinet, Ivanti e SAP lançaram atualizações para corrigir vulnerabilidades críticas em seus produtos que poderiam permitir a execução de código e a bypass de autenticação. As falhas da Fortinet, identificadas como CVE-2025-59718 e CVE-2025-59719, afetam o FortiOS, FortiWeb, FortiProxy e FortiSwitchManager, com uma pontuação CVSS de 9.8. A vulnerabilidade permite que atacantes não autenticados contornem a autenticação do FortiCloud SSO por meio de mensagens SAML manipuladas. Para mitigar o risco, recomenda-se desativar essa funcionalidade até que a atualização seja aplicada.

A Ivanti lançou atualizações de segurança críticas para corrigir três vulnerabilidades de alta severidade no Ivanti Endpoint Manager, que afetam a versão 2024 SU3 SR1 e anteriores. As falhas permitem que atacantes autenticados escrevam arquivos arbitrários em qualquer local do disco de um sistema, o que pode levar a acessos não autorizados e comprometimento do sistema. A vulnerabilidade mais crítica, identificada como CVE-2025-10918, resulta de permissões padrão inseguras no agente do Endpoint Manager, com uma pontuação CVSS de 7.1, indicando um alto risco à segurança do sistema. A exploração dessas vulnerabilidades requer acesso local e credenciais de autenticação válidas. Embora a Ivanti não tenha encontrado evidências de exploração por parte de clientes até o momento, a empresa recomenda que as organizações atualizem imediatamente para a versão 2024 SU4, que corrige todas as falhas. Além disso, as equipes de segurança devem auditar suas implementações do Endpoint Manager e monitorar atividades suspeitas de criação de arquivos em locais inesperados para detectar tentativas de exploração.

A Ivanti divulgou a correção de treze vulnerabilidades críticas em sua linha de produtos Endpoint Manager (EPM), que incluem falhas de desserialização insegura, travessia de caminho e uma série de vulnerabilidades de injeção SQL. Embora não haja relatos de exploração ativa, duas falhas foram classificadas como de alta severidade, sendo a mais crítica a CVE-2025-11622, que permite a escalada de privilégios por um usuário local autenticado. A segunda, CVE-2025-9713, é uma vulnerabilidade de travessia de caminho que pode ser explorada por um atacante não autenticado para execução remota de código, desde que um arquivo de configuração malicioso seja importado. As demais falhas são relacionadas à injeção SQL, permitindo que usuários autenticados recuperem registros arbitrários do banco de dados. A Ivanti recomenda que os clientes migrem do EPM 2022, que chegou ao fim da vida útil, para o EPM 2024 e implementem medidas provisórias até que os patches completos sejam disponibilizados. As atualizações estão programadas para serem lançadas em novembro de 2025 e no primeiro trimestre de 2026.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta urgente sobre uma campanha de malware sofisticada que explora duas vulnerabilidades recentemente divulgadas no Ivanti Endpoint Manager Mobile (EPMM). As falhas, identificadas como CVE-2025-4427 e CVE-2025-4428, permitem a execução remota de código não autenticado em servidores EPMM locais. Os atacantes utilizam requisições HTTP GET manipuladas para injetar segmentos de código malicioso, contornando defesas baseadas em assinatura. A CISA recomenda que as organizações atualizem imediatamente suas versões do Ivanti EPMM, tratem os sistemas de gerenciamento de dispositivos móveis como ativos de alto valor e implementem regras de detecção para identificar atividades suspeitas. A análise da CISA inclui regras YARA e SIGMA para ajudar na identificação de artefatos maliciosos e comportamentos anômalos. A vigilância contínua e a gestão rápida de patches são essenciais para mitigar essa ameaça ativa.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) divulgou informações sobre duas famílias de malware encontradas na rede de uma organização não identificada, após a exploração de vulnerabilidades no Ivanti Endpoint Manager Mobile (EPMM). As falhas exploradas, CVE-2025-4427 e CVE-2025-4428, permitiram que atacantes contornassem a autenticação e executassem código remotamente. A primeira vulnerabilidade permite o acesso a recursos protegidos, enquanto a segunda possibilita a execução de código arbitrário. Os atacantes conseguiram acessar o servidor EPMM em meados de maio de 2025, utilizando um exploit de prova de conceito. Após a invasão, foram implantados dois conjuntos de arquivos maliciosos que garantiram a persistência e a execução de código arbitrário. Esses arquivos manipulam requisições HTTP para decodificar e executar cargas úteis maliciosas. Para se proteger, as organizações devem atualizar suas instâncias para a versão mais recente e monitorar atividades suspeitas.

A Ivanti divulgou atualizações críticas para o Ivanti Endpoint Manager (EPM) devido a duas vulnerabilidades de execução remota de código, identificadas como CVE-2025-9712 e CVE-2025-9872. Ambas as falhas, que afetam as versões 2024 SU3 e 2022 SU8 do software, resultam de uma validação inadequada de nomes de arquivos. Um atacante não autenticado pode criar nomes de arquivos maliciosos que, ao serem manipulados por um usuário, podem levar à execução de código arbitrário. Ambas as vulnerabilidades possuem uma pontuação CVSS de 8.8, indicando um alto impacto em confidencialidade, integridade e disponibilidade. A Ivanti recomenda que os clientes instalem as atualizações de segurança disponíveis para mitigar os riscos. É importante ressaltar que a versão 2022 SU8 atingirá o fim de sua vida útil em outubro de 2025, o que significa que não receberá mais correções de segurança. Portanto, as organizações que ainda utilizam essa versão devem planejar uma atualização para a versão 2024 ou uma alternativa suportada para garantir a conformidade de segurança.

A Ivanti divulgou um aviso de segurança em setembro de 2025, alertando sobre onze vulnerabilidades em seu portfólio de Acesso Seguro, que inclui o Connect Secure, Policy Secure e ZTA Gateways. Dentre as falhas, seis são de severidade média e cinco de alta severidade, com destaque para problemas de bypass de autorização e CSRF (Cross-Site Request Forgery). Essas vulnerabilidades permitem que usuários autenticados com privilégios limitados modifiquem configurações restritas, possibilitando a escalada de privilégios. Além disso, atacantes não autenticados podem induzir vítimas a executar ações sensíveis com mínima interação. A Ivanti recomenda que os administradores apliquem patches ou mitigações imediatamente para proteger a infraestrutura de acesso remoto. As falhas incluem também problemas de negação de serviço e injeção de texto refletido, que, embora classificadas como de severidade média, podem facilitar ataques mais amplos. A empresa aconselha que portais administrativos não sejam acessíveis publicamente para reduzir a exposição a riscos. Os patches estão disponíveis para as versões afetadas, e a Ivanti agradece ao pesquisador de segurança Nikolay Semov pela colaboração na identificação de uma das falhas.