Ivanti lança alerta sobre nova vulnerabilidade zero-day explorada por invasores

Nova vulnerabilidade zero-day afeta clientes da Ivanti

A Ivanti alertou seus clientes sobre uma nova vulnerabilidade zero-day, identificada como CVE-2026-6973, que está sendo explorada por invasores em seu produto Endpoint Manager Mobile (EPMM). A falha permite que usuários com privilégios administrativos executem códigos remotamente, representando um risco significativo para a segurança das organizações.

Detalhes da vulnerabilidade e exploração

A vulnerabilidade está relacionada a uma validação inadequada de entrada no EPMM, permitindo a execução remota de código. Segundo a Ivanti, a exploração requer acesso administrativo autenticado, o que reduz o risco para clientes que já haviam seguido as recomendações anteriores da empresa para rotacionar credenciais.

A empresa divulgou a descoberta em um advisory de segurança na quinta-feira (14), juntamente com quatro outras vulnerabilidades de alta gravidade no mesmo produto. Até o momento, a Ivanti informou que há poucas evidências de exploração in-the-wild da CVE-2026-6973, mas a CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) já incluiu a falha em seu catálogo de vulnerabilidades conhecidas e exploradas.

Patches e recomendações

A Ivanti lançou patches para todas as cinco vulnerabilidades, incluindo as quatro adicionais: CVE-2026-5787, CVE-2026-5788, CVE-2026-6973 e CVE-2026-7821. Segundo a empresa, as demais falhas não foram exploradas na natureza até o momento.

As vulnerabilidades foram descobertas recentemente por meio de processos internos de detecção, apoiados por IA avançada, colaboração com clientes e divulgação responsável. Uma delas foi relatada por um ex-funcionário da Ivanti.

Risco associado a vulnerabilidades anteriores

A empresa sugeriu que a nova zero-day pode estar relacionada a dois zeros-days críticos explorados desde janeiro (CVE-2026-1281 e CVE-2026-1340), que afetaram quase 100 vítimas, incluindo órgãos governamentais da Holanda. Essas falhas anteriores permitiam a execução remota de código sem autenticação, o que as tornava ainda mais perigosas.

“A nova vulnerabilidade requer privilégios administrativos, o que significa que clientes que já rotacionaram suas credenciais estão em menor risco.” — Porta-voz da Ivanti

Análise de especialistas

Caitlin Condon, vice-presidente de pesquisa em segurança da VulnCheck, destacou que a necessidade de privilégios administrativos para explorar a CVE-2026-6973 sugere que ela pode ter sido usada em cadeias de ataque que já haviam obtido acesso inicial por outros meios.

Embora a Ivanti não tenha atribuído a exploração a nenhum grupo específico, a CVE-2026-6973 se soma a outras vulnerabilidades anteriores no EPMM que foram exploradas por atores de ameaças associados à China e ao Irã.

Impacto recorrente para clientes da Ivanti

As vulnerabilidades em produtos da Ivanti têm se tornado um problema recorrente para seus clientes e profissionais de segurança. A empresa enfrenta desafios constantes para conter explorações antes que causem danos significativos.

Recomendações:

• Atualizar imediatamente os sistemas com os patches lançados;
• Revisar e rotacionar credenciais administrativas;
• Monitorar atividades suspeitas em ambientes afetados;
• Seguir as orientações da CISA e da Ivanti para mitigação de riscos.