CVE-2026-104935: falha de alta gravidade em Ivanti Connect Secure
Publicada em
Corrija agora. Ela está sob exploração confirmada pelo CISA e tem exploit funcional público.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Uma falha no ICS permite que atacantes falsifiquem sua identidade e burlem verificações de segurança, executando comandos sem permissão. Isso é grave porque permite controlar o sistema remotamente.
Um desvio de autenticação por spoofing (CWE-290) no ICS versões posteriores a 22.7R2.14 e anteriores a 25.1.3.0 permite execução de comandos arbitrários por atacantes remotos não autenticados. A vulnerabilidade não requer acesso prévio nem interação do usuário, representando um vetor crítico de ataque remoto com impacto direto na integridade do sistema.
No mesmo produto, das mais perigosas para as menos.