Ivanti Connect Secure: zero-day CVE-2026-104935 sfruttato
Bypass di autenticazione con esecuzione di comandi in Ivanti Connect Secure, sfruttato dal 1° ottobre: versioni colpite, catena di attacco e cosa fare.
Il 13 ottobre 2026 Ivanti ha pubblicato gli aggiornamenti per Ivanti Connect Secure (ICS), il gateway SSL VPN usato da molte aziende per l’accesso remoto, che correggono la CVE-2026-104935: un bypass di autenticazione che consente a un attaccante remoto e non autenticato di eseguire comandi arbitrari sull’appliance. Il punteggio CVSS v3.1 è 8,6 (gravità alta). Ivanti ha confermato uno sfruttamento «limitato» presso un numero ristretto di clienti e chiede di intervenire subito.
Lo stesso giorno la CISA ha inserito la vulnerabilità nel catalogo KEV, con scadenza venerdì 16 ottobre per le agenzie federali statunitensi, e ha pubblicato un avviso rivolto a tutte le organizzazioni. Seguono le allerte di NBSZ NKI (Ungheria, 14 ottobre) e SingCERT (Singapore, 20 ottobre).
La catena di attacco
La falla è stata scoperta da Volexity, che il 5 ottobre ha iniziato a indagare su attività sospette e le ha ricondotte a un’appliance ICS completamente aggiornata, compromessa dal 3 ottobre. La società di threat intelligence Defused ha osservato i primi tentativi di sfruttamento già dal 1° ottobre.
Secondo Volexity gli attaccanti hanno concatenato tre vulnerabilità:
- un bypass di autenticazione;
- un’esecuzione di codice remota (RCE);
- un’escalation di privilegi fino a root.
Le prime due rientrano nella CVE-2026-104935 e sono corrette dagli aggiornamenti del 13 ottobre. La terza è un difetto separato, non ancora corretto: Ivanti ne è a conoscenza e prevede una correzione «nelle prossime settimane».
Secondo The Register, Ivanti aveva già corretto «una parte» della vulnerabilità a luglio nella 25.1.3.0, ma gli attacchi sono iniziati prima che finisse il backport negli altri rami; Dark Reading sottolinea che la correzione di luglio era parziale.
Chi c’è dietro e cosa ha fatto
Volexity attribuisce gli attacchi a un gruppo finora sconosciuto, che chiama UTA0576, e ritiene, con bassa confidenza, che abbia motivazioni criminali più che di spionaggio. Alcuni elementi tecnici:
- nessun malware e nessuna web shell: il gruppo ha sfruttato di nuovo la vulnerabilità per ogni comando, usando solo gli strumenti presenti sull’appliance;
- manomissione dei log per coprire le tracce, con cui ha eluso l’Integrity Checker Tool (ICT) di Ivanti;
- furto di credenziali e segreti di Active Directory, comprese le password LAPS e le chiavi di ripristino BitLocker (dettaglio riportato da BleepingComputer citando Volexity), oltre a esfiltrazione di dati e ricognizione della rete.
Secondo Volexity (alta confidenza) il gruppo preparava movimenti laterali e una compromissione più ampia, interrotta dalla scoperta dell’attacco.
In termini MITRE ATT&CK: accesso iniziale con T1190 (Exploit Public-Facing Application), escalation con T1068 (Exploitation for Privilege Escalation), cancellazione delle tracce con T1070 (Indicator Removal), poi Credential Access (TA0006), Discovery (TA0007) ed Exfiltration (TA0010).
Versioni colpite e corrette
Sono colpite:
- 22.8R2.4 e precedenti;
- 25.1.1.1 e precedenti;
- 25.1.2.2 e precedenti.
Le versioni corrette sono 22.8R2.5, 25.1.1.2, 25.1.3.0 e 25.1.3.1. Secondo l’avviso ungherese, che riporta le indicazioni di Ivanti, la 22.7R2.14 e precedenti non sono colpite; il ramo 22.7 non sarà più supportato dal 31 gennaio 2027 e il 22.8 serve solo come passaggio verso il 25.1, quindi conviene pianificare la migrazione. Se non puoi passare subito al 25.1, puoi installare la 22.8R2.5.
Indicatori e rilevamento
L’avviso di Ivanti non contiene indicatori di compromissione pubblici (indirizzi IP, domini, hash) e rimanda al rapporto di Volexity. La CISA avverte che l’ICT potrebbe non rilevare lo sfruttamento, perché i comandi vengono eseguiti in memoria: per capire se un’appliance è stata compromessa servono analisi forensi di rete e della memoria.
Shadowserver conta oltre 5.600 host esposti su Internet con l’impronta di ICS, senza sapere quanti siano già aggiornati o siano honeypot. The Hacker News riferisce di 105 tentativi di sfruttamento registrati dagli honeypot.
Impatto per le aziende europee e italiane
Le VPN SSL sono il punto d’ingresso di dipendenti, fornitori e manutentori, e stanno per definizione su Internet. Il caso è delicato per due motivi: l’escalation di privilegi resta aperta, e gli attaccanti puntano alle credenziali di Active Directory, che restano valide anche dopo l’aggiornamento dell’appliance.
Per i soggetti NIS2 l’aggiornamento rientra nella gestione delle vulnerabilità con tempi documentati; una compromissione accertata va valutata ai fini della notifica al CSIRT Italia dell’ACN (preallarme entro 24 ore per gli incidenti significativi). Nella sanità, dove la VPN serve spesso all’accesso remoto di medici e fornitori di dispositivi, il furto di credenziali di dominio può aprire la strada ai sistemi clinici.
Cosa fare subito
- Aggiorna ogni appliance, compresi tutti i nodi dei cluster ad alta disponibilità, alla versione corretta del tuo ramo, e verifica poi versione e integrità.
- Esegui l’ICT, ma non fidarti solo del suo esito: cerca autenticazioni anomale, modifiche di configurazione, connessioni in uscita insolite e buchi nei log.
- Conserva le prove prima di intervenire e, se hai dubbi, fai analizzare rete e memoria.
- Se trovi una compromissione, segui le indicazioni della CISA: salva la configurazione, fai un ripristino di fabbrica e aggiorna (per le istanze cloud e virtuali, ricostruiscile), ripristina la configurazione, reimposta le password di tutti gli account (dominio, amministratori, locali), revoca e riemetti i certificati, cambia le chiavi API e le credenziali del server delle licenze.
- Controlla Active Directory: letture delle password LAPS e delle chiavi BitLocker, accessi dall’indirizzo interno della VPN, nuovi account o privilegi.
- Segui l’avviso di Ivanti per la correzione dell’escalation di privilegi e installala appena esce.
Come aiuta ARXDOME
ARX Expose mostra quali servizi la tua azienda espone su Internet e quali hanno vulnerabilità note, così sai subito se un gateway di accesso remoto è raggiungibile da fuori. ARX Sentry raccoglie i log di firewall e dispositivi di rete in un collettore centrale, fuori dall’appliance: una manomissione dei log locali non cancella quello che è già stato inviato. Le pagine sulle identità di ARX Sentry evidenziano accessi privilegiati, raffiche di tentativi e modifiche agli account, utili per riconoscere l’uso di credenziali rubate.
Ultimo aggiornamento:
