Ivanti Connect Secure: altre due falle sfruttate nel catalogo KEV

Il 30 ottobre 2026 la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities (KEV) due nuove vulnerabilità di Ivanti Connect Secure (ICS), il gateway SSL VPN già al centro della campagna di ottobre basata sulla CVE-2026-104935, che abbiamo descritto negli articoli precedenti. Le nuove voci sono la CVE-2026-118527, che consente di caricare file sull’appliance, e la CVE-2026-111357, un’escalation di privilegi fino a root. Per entrambe la CISA conferma lo sfruttamento attivo.

Questo articolo riporta solo quello che dicono la scheda KEV e il database NVD: per ora sono le uniche fonti su queste due CVE.

CVE-2026-111357: escalation di privilegi fino a root

Secondo la descrizione pubblicata in NVD, Ivanti Connect Secure 22.8R2.4 gestisce in modo errato il modo in cui il broker dsinvoked si fida dei dati di configurazione DSCache: un difetto che porta a un’escalation di privilegi fino a root, sfruttata in attacchi reali nell’ottobre 2026.

Dettagli tecnici dalla scheda NVD (pubblicata il 15 ottobre, ultima modifica il 30 ottobre, stato «Analyzed»):

• CVSS v3.1: 7,0 (alta), vettore AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H, punteggio fornito da MITRE: attacco locale, complessità alta, privilegi bassi già richiesti, impatto alto su riservatezza, integrità e disponibilità;
• debolezza CWE-829 (inclusione di funzionalità da una sfera di controllo non fidata);
• versioni colpite secondo la configurazione NVD: il ramo 22.8 e le versioni del ramo 25.1 dalla 25.1.0.0 alla 25.1.1.3 esclusa.

Le fonti non concordano sul tipo di difetto: il catalogo KEV classifica la CVE come «Missing Authentication for Critical Function» (mancata autenticazione per una funzione critica), mentre NVD indica la CWE-829.

Tra i riferimenti, NVD rimanda all’avviso di Ivanti sulla CVE-2026-104935 e al rapporto di Volexity del 13 ottobre sullo sfruttamento concatenato di zero-day in Ivanti Connect Secure, lo stesso da cui partivano i nostri articoli precedenti.

In termini MITRE ATT&CK l’escalation rientra in T1068 (Exploitation for Privilege Escalation).

CVE-2026-118527: upload di file in un percorso noto

Secondo la scheda KEV, Ivanti Connect Secure contiene una vulnerabilità di generazione di numeri o identificatori prevedibili che permette a un attaccante remoto autenticato di caricare file con contenuto scelto da lui in una posizione nota del disco. La CISA aggiunge che questa vulnerabilità può essere concatenata con la CVE-2026-104935 e con la CVE-2026-111357.

Al momento della raccolta la CVE non era ancora presente in NVD: non ci sono quindi punteggio CVSS, elenco delle versioni colpite né riferimenti tecnici pubblici. Le fonti non dicono quale ruolo abbia ciascuna delle tre CVE nella catena.

Scadenze della CISA

Per le agenzie federali statunitensi la CISA fissa scadenze molto ravvicinate:

• CVE-2026-111357: entro il 2 novembre 2026, tre giorni dopo l’inserimento nel catalogo;
• CVE-2026-118527: entro il 13 novembre 2026.

L’azione richiesta per entrambe è la stessa: applicare le mitigazioni secondo le istruzioni di Ivanti, rispettando la direttiva BOD 26-04 sulla priorità degli aggiornamenti in base al rischio e i requisiti della CISA per il triage forense; se le mitigazioni non sono disponibili, smettere di usare il prodotto. La CISA chiede inoltre di valutare l’esposizione su Internet di ogni appliance. L’uso in campagne ransomware è indicato come «non noto».

Impatto per le aziende europee e italiane

ICS è un punto di accesso remoto esposto per definizione su Internet. L’inserimento di due nuove CVE nel catalogo KEV, due settimane dopo la CVE-2026-104935, significa che aver installato le correzioni di metà ottobre non basta a considerare chiusa la questione: si tratta di vulnerabilità distinte, e per la CVE-2026-111357 la configurazione NVD indica come colpita anche la 22.8R2.4.

Per i soggetti NIS2 il catalogo KEV è un criterio di priorità documentabile nella gestione delle vulnerabilità; una compromissione accertata va valutata ai fini della notifica al CSIRT Italia dell’ACN. Nella sanità, dove la VPN serve spesso all’accesso remoto di medici e fornitori, un gateway compromesso con privilegi di root è un punto d’ingresso verso la rete interna.

Cosa fare subito

1. Fai l’inventario delle appliance ICS, compresi tutti i nodi dei cluster, con ramo e versione esatta (22.8, 25.1).
2. Consulta l’avviso di Ivanti e applica mitigazioni e aggiornamenti per la CVE-2026-111357 e la CVE-2026-118527: le fonti di questo articolo non indicano quali versioni correggono le due falle, quindi verificalo direttamente sull’avviso.
3. Non fermarti alla CVE-2026-104935: se hai già aggiornato a metà ottobre, controlla che la versione installata copra anche le due nuove CVE.
4. Fai un’analisi forense delle appliance esposte, come chiede la CISA. Includi i file presenti sul disco, visto che la CVE-2026-118527 permette di scrivere file con contenuto scelto dall’attaccante, e ricorda che per gli attacchi di inizio ottobre la CISA aveva avvertito che l’Integrity Checker Tool di Ivanti potrebbe non rilevare lo sfruttamento.
5. Se non puoi applicare le mitigazioni, valuta di scollegare l’appliance, come prevede la CISA per le agenzie federali.
6. In caso di compromissione, segui le istruzioni di ripristino di Ivanti e ruota le credenziali che passano dall’appliance, a partire da quelle di Active Directory.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet e quali hanno vulnerabilità note, così sai subito se un gateway di accesso remoto è raggiungibile da fuori. ARX Sentry porta i log di firewall e dispositivi di rete in un collettore centrale, fuori dall’appliance, dove restano disponibili per l’analisi anche se i log locali vengono manomessi. ARX Horizon arricchisce ogni evento con paese, operatore, liste di minacce e vulnerabilità, così le connessioni verso il gateway si leggono con il contesto giusto.

Ultimo aggiornamento: 30 ottobre 2026