Il 13 ottobre 2026 Ivanti ha avvisato i clienti che gli attaccanti stanno sfruttando una catena di tre vulnerabilità contro gli appliance VPN Connect Secure. La catena può produrre esecuzione di codice non autenticata a livello root, mentre la componente finale di escalation dei privilegi non è ancora stata corretta.
Ivanti ha dichiarato che, al momento della divulgazione, lo sfruttamento aveva coinvolto un «numero limitato di clienti», senza fornire un conteggio. Volexity ha scoperto l'attività mentre indagava su un'intrusione presso un cliente e traccia l'attore di minaccia, finora non documentato, come UTA0576.
La CISA ha inserito CVE-2026-104935 nel proprio catalogo delle vulnerabilità sfruttate note il 13 ottobre 2026, confermando che la falla è sfruttata negli attacchi e non resta un rischio teorico.
Tre falle trasformano l'accesso remoto in esecuzione come root
L'attacco combina un bypass dell'autenticazione, un'esecuzione di codice remoto e una falla di escalation dei privilegi. Secondo il resoconto sull'indagine di Volexity, il bypass dell'autenticazione e il problema di esecuzione del codice sono tracciati insieme come CVE-2026-104935. Consentono a un attaccante remoto, senza credenziali né interazione dell'utente, di eseguire comandi come utente cgi-server.
La terza zero-day eleva poi questi privilegi a root. Ivanti ha corretto le prime due componenti, ma ha dichiarato che la correzione dell'escalation dei privilegi arriverà in «una release futura nelle prossime settimane».
CVE-2026-104935 ha un punteggio CVSS v3.1 di 8,6, classificato come alto, con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L. È classificata come CWE-290, Authentication Bypass by Spoofing. Il percorso accessibile dalla rete e a bassa complessità non richiede né privilegi preesistenti né azioni dell'utente.
Il punteggio di gravità misura caratteristiche tecniche. L'inclusione nel catalogo KEV e la comunicazione di Ivanti forniscono invece prove separate che lo sfruttamento è attivo.
Versioni interessate e un confine di versione contestato
La descrizione NVD indica che Connect Secure precedenti alla versione 25.1.3.0 sono vulnerabili, escludendo esplicitamente ICS 22.7R2.14 e le versioni precedenti. Secondo quanto riportato, anche il record CVE elenca come non interessate queste release:
- 22.8R2.5
- 25.1.3.0
- 25.1.3.1
SecurityWeek riporta che Ivanti ha identificato come release corrette le seguenti:
- 22.8R2.5
- 25.1.1.2
- 25.1.3.0
- 25.1.3.1
Lo stato di 25.1.1.2 non è chiaro dai dati di versione disponibili: compare nell'elenco delle release corrette riportato da Ivanti, ma è sotto la soglia NVD di 25.1.3.0 e non compare nell'elenco delle release non interessate del record CVE. Gli amministratori non dovrebbero dedurre il suo stato da nessuno dei due intervalli da soli.
L'appliance compromesso da Volexity eseguiva la 22.8R2.4 ed era descritto come completamente aggiornato all'epoca. Le fonti non spiegano in che rapporto stia tale descrizione con la correzione 22.8R2.5, indicata successivamente.
Gli attaccanti hanno preso di mira credenziali e dati della directory
Volexity ha trovato evidenze di sfruttamento a partire dal 3 ottobre. Nell'incidente analizzato, gli attaccanti hanno sottratto le credenziali memorizzate sull'appliance, incluse le credenziali di dominio LDAP, e hanno rimosso una quantità limitata di metadati di Active Directory.
Le azioni successive allo sfruttamento comprendevano:
- Ricerca in Active Directory di password LAPS e chiavi di recupero BitLocker tramite uno strumento personalizzato.
- Password spraying contro account.
- Verifica delle credenziali tramite un'utilità Kerberos personalizzata.
- Tentativo di recuperare credenziali dal traffico di rete catturato.
- Scansione della rete interna.
- Raccolta dei dati di configurazione dell'appliance.
- Analisi dei log di autenticazione per individuare nomi utente validi.
- Manomissione dei log.
Secondo quanto riportato, gli attaccanti avrebbero rieseguito l'intera catena di exploit per ogni comando. Volexity non ha trovato backdoor persistenti né web shell sull'appliance, ma ha valutato con alta confidenza che l'attività stava preparando movimenti laterali e una compromissione più ampia della rete. L'operazione è stata interrotta prima che fosse chiaro il suo obiettivo finale.
Volexity ha valutato con bassa confidenza che UTA0576 sia motivato da fini economici anziché coinvolto in attività di spionaggio. Ha inoltre valutato, con confidenza media, che l'attore usi modelli linguistici di grandi dimensioni durante lo sviluppo degli exploit e nella fase post-sfruttamento.
I controlli di integrità potrebbero non rivelare l'intrusione
L'exploit modifica il codice delle librerie in memoria e ripristina i dati di configurazione dopo aver apportato le modifiche. Questo comportamento può impedire all'Integrity Checker Tool di Ivanti di rilevare la catena, nonostante Ivanti raccomandi ai clienti di eseguire regolarmente lo strumento.
Gli indicatori riportati dall'incidente analizzato da Volexity comprendono:
- Richieste ripetute a
/dana-na/auth/url_default/welcome.cgi - Un header
X-DSCGI-PATHil cui valore non corrisponde al percorso dell'URL richiesto - La directory
/data/.icscap/ - L'indirizzo IP
108[.]165[.]147[.]64
Questi indicatori descrivono una sola intrusione analizzata e non vanno considerati una regola di rilevamento esaustiva. Volexity ha affermato che confermare la compromissione richiede un'indagine forense, che includa analisi di rete e di memoria.
Aggiornare subito e verificare eventuali accessi precedenti
Ivanti consiglia ai clienti con release interessate di passare a una versione corretta ed eseguire regolarmente l'Integrity Checker Tool. Poiché la catena osservata può eludere lo strumento, anche gli appliance esposti durante la finestra di sfruttamento meritano un triage forense, invece di affidarsi solo a un esito pulito del controllo di integrità.
L'aggiornamento risolve le componenti di bypass dell'autenticazione ed esecuzione di codice remoto. La falla separata di escalation dei privilegi resta in attesa di una correzione del fornitore, anche se le fonti disponibili non stabiliscono se sia ancora sfruttabile una volta corrette le prime due falle.
La CISA richiede alle agenzie federali statunitensi interessate di correggere CVE-2026-104935 entro il 16 ottobre 2026. L'azione richiesta consiste nell'applicare le mitigazioni del fornitore nel rispetto di BOD 26-04 Prioritizing Security Updates Based on Risk e dei Forensics Triage Requirements della CISA. Per i servizi cloud applicabili, le agenzie devono seguire BOD 26-04; se le mitigazioni non sono disponibili, la CISA dispone che smettano di usare il prodotto.
Questa scadenza riguarda le agenzie federali interessate, non ogni operatore di Connect Secure. Per le altre organizzazioni, lo sfruttamento attivo, il punto d'accesso remoto senza autenticazione e il possibile accesso alle credenziali di dominio rendono prioritari, in pratica, l'aggiornamento rapido e la verifica di eventuale compromissione.
