La CISA statunitense ha aggiunto due nuove falle di Ivanti Connect Secure al proprio catalogo Known Exploited Vulnerabilities (KEV), confermando che sono sfruttate in attacchi reali. Le vulnerabilità del gateway VPN di Ivanti, identificate come CVE-2026-111357 e CVE-2026-118527, vengono usate in catena con una terza falla già nota, CVE-2026-104935, per ottenere l’accesso root ai dispositivi senza autenticazione. Per le agenzie federali USA la prima scadenza per applicare le correzioni è domani, 2 novembre.
Le vulnerabilità di Ivanti Connect Secure sfruttate
Ecco le tre falle coinvolte nella catena di attacco:
- CVE-2026-104935 (CVSS 8.6): bypass dell’autenticazione che consente l’esecuzione di codice; era già stata inserita nel catalogo KEV il 13 ottobre.
- CVE-2026-111357 (CVSS 8.8): mancata autenticazione per una funzione critica, che permette a un utente locale autenticato di elevare i propri privilegi. Aggiunta al KEV il 30 ottobre, con scadenza il 2 novembre per le agenzie federali.
- CVE-2026-118527 (CVSS 4.3): uso di identificatori prevedibili, che consente a un utente autenticato di caricare file in una posizione nota. Scadenza fissata al 13 novembre.
Secondo quanto ricostruito da Volexity e riportato da The Hacker News e Security Affairs, la catena è stata usata da un gruppo tracciato come UTA0576. Una volta ottenuto l’accesso, gli aggressori hanno estratto credenziali e metadati di Active Directory e hanno cercato password di amministratore e chiavi di ripristino BitLocker: un bottino che può aprire la strada a movimenti laterali nella rete interna.
Versioni corrette e aggiornamenti
Ivanti ha rilasciato aggiornamenti per i rami supportati. In base alle indicazioni di CISA e del Canadian Centre for Cyber Security:
- chi usa la versione 25.1.1.2 o precedenti deve passare alla 25.1.1.3;
- chi usa la 22.8R2.5 o precedenti deve passare alla 22.8R2.6;
- per il ramo 25.1.2.x le versioni corrette sono la 25.1.3.0 e la 25.1.3.1.
Il ramo 22.8 raggiungerà la fine del supporto il 31 gennaio 2027: chi lo usa ancora dovrebbe pianificare la migrazione.
Cosa fare se si sospetta una compromissione
La CISA avverte che l’Integrity Checker Tool di Ivanti potrebbe non rilevare lo sfruttamento di CVE-2026-104935, perché l’attacco agisce in memoria. Per questo l’agenzia raccomanda un’analisi forense e, in caso di sospetta compromissione, una procedura completa di ripristino:
- salvare la configurazione, eseguire il reset di fabbrica e aggiornare alla versione corretta (per le appliance virtuali, ricostruirle da zero);
- ripristinare la configurazione solo dopo l’aggiornamento;
- reimpostare tutte le password;
- revocare e riemettere i certificati, reimpostare le chiavi API e le credenziali del license server.
Visto che gli aggressori hanno cercato credenziali e chiavi di ripristino BitLocker, è prudente anche verificare i log di Active Directory alla ricerca di accessi anomali e valutare la rotazione delle chiavi potenzialmente esposte.
Le appliance VPN e i gateway di accesso remoto restano tra i bersagli preferiti, come dimostrano i recenti attacchi a Palo Alto PAN-OS e i precedenti di CitrixBleed 2: aggiornare con tempestività e limitare l’esposizione delle interfacce di gestione è la prima difesa.
Fonti: CISA (30 ottobre), CISA (13 ottobre), The Hacker News, Security Affairs, Canadian Centre for Cyber Security.
