Falhas de segurança críticas abalam o Ivanti Sentry
Duas falhas de segurança críticas na solução de gateway VPN Sentry da Ivanti geram considerável confusão no sector da segurança informática. Enquanto a agência norte-americana Cybersecurity and Infrastructure Security Agency (CISA) alerta para ataques activos e incluiu as vulnerabilidades no seu catálogo de falhas conhecidas sob exploração, a própria Ivanti desvaloriza a situação de ameaça.
Ambas as falhas de segurança afectadas atingem a classificação de risco mais elevada possível no sistema CVSS. A CVE-2026-10520 recebe uma pontuação CVSS de 10.0 e permite aos atacantes, sem qualquer início de sessão prévio, introduzir comandos no sistema operativo e executar código arbitrário com privilégios de root. A segunda vulnerabilidade, CVE-2026-10523, com uma pontuação CVSS de 9.9, permite contornar a autenticação e criar contas de administrador arbitrárias.
Sistemas afectados e actualizações disponíveis
As falhas de segurança afectam o Ivanti Sentry nas versões 10.5.1, 10.6.1, 10.7.0 e versões anteriores. A empresa já disponibilizou correcções: as actualizações para as versões 10.5.2, 10.6.2 e 10.7.1 fecham ambas as vulnerabilidades.
Especialmente problemático é o facto de já existirem publicamente exploits de prova de conceito. Os investigadores de segurança informática dos watchTowr Labs publicaram um exploit funcional que demonstra a exploração de ambas as falhas. Isso baixa consideravelmente a barreira para potenciais atacantes.
Avaliações contraditórias sobre a situação de ameaça
Enquanto várias empresas de segurança informática e a CISA alertam para ataques activos, a Ivanti mantém a posição de que não ocorreram ataques reais. No aviso de segurança da empresa lê-se que a Ivanti não tem conhecimento de casos de exploração anteriores à publicação da comunicação. A CISA teria incluído a falha no catálogo KEV apenas com base em tentativas de ataque a honeypots.
A Ivanti argumenta ainda que a exploração da falha mais crítica, a CVE-2026-10520, exige acesso à porta de gestão 8443. As interfaces de gestão não deveriam, em princípio, estar acessíveis a partir da Internet, ainda que os honeypots simulem essas configurações erradas.
Primeiros comprometimentos já confirmados
A avaliação da Ivanti estará, porém, já ultrapassada. A Shadowserver Foundation relata, com base nas suas análises de rede, 19 instâncias vulneráveis, das quais pelo menos duas já foram comprometidas com backdoors. Os investigadores partem do princípio de que também as restantes instâncias encontradas terão entretanto caído nas mãos dos atacantes.
Esta evolução sublinha a urgência da situação e contraria a apresentação minimizadora do fabricante. Também os investigadores da Rapid7 alertam para prováveis ataques, uma vez que no passado já várias falhas do Sentry foram parar ao catálogo de vulnerabilidades exploradas da CISA.
Ameaças paralelas noutros produtos da Ivanti
Além dos problemas do Sentry, foram conhecidas outras falhas de segurança no Endpoint Manager Mobile da Ivanti. Estas são consideradas de risco elevado e exigem igualmente contramedidas rápidas por parte dos administradores.
Recomendações para os administradores
Independentemente das avaliações contraditórias sobre a actual situação de ameaça, os administradores não se devem deixar tranquilizar. As actualizações disponíveis devem ser instaladas o mais depressa possível, uma vez que as vulnerabilidades permitem o comprometimento total dos sistemas afectados.
Especialmente importante é a verificação da configuração da rede. Ainda que a Ivanti argumente que as interfaces de gestão não devem estar acessíveis a partir da Internet, a realidade mostra que essas configurações erradas ocorrem com frequência. As organizações devem, por isso:
- Instalar de imediato as correcções disponíveis
- Rever a segmentação da rede e as regras da firewall
- Monitorizar actividades suspeitas
- Realizar verificações de segurança regulares da infra-estrutura
Perspectivas e lições
O caso do Ivanti Sentry evidencia os desafios da avaliação das ameaças de cibersegurança. Enquanto os fabricantes tendem muitas vezes a desvalorizar a exposição dos seus produtos, a prática mostra que as vulnerabilidades críticas com exploits publicamente disponíveis são rapidamente exploradas.
As avaliações divergentes entre a CISA, os investigadores independentes de segurança e o fabricante sublinham a importância de uma recolha de informação diversificada nas decisões de segurança. Os administradores não se devem basear apenas nas declarações do fabricante, devendo considerar também fontes externas e threat intelligence.
Para o futuro, resta ver como evolui a situação e se serão conhecidos mais comprometimentos. As instalações de backdoors já confirmadas deixam, contudo, poucas dúvidas quanto à gravidade da ameaça.
