La U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto due vulnerabilità di Ivanti Connect Secure al proprio catalogo Known Exploited Vulnerabilities il 30 ottobre 2026, citando prove di sfruttamento attivo. Le falle fanno parte di una catena di attacco a tre vulnerabilità che, secondo i ricercatori, permette agli attaccanti di eseguire codice con pieno controllo amministrativo senza aver prima effettuato l'accesso. Le patch sono ora disponibili.
Le organizzazioni che utilizzano Ivanti Connect Secure (ICS) dovrebbero dare priorità agli aggiornamenti. Gli attacchi hanno comportato l'estrazione di credenziali e la ricerca di password amministrative e di chiavi di recupero BitLocker, che possono sbloccare unità cifrate, secondo quanto riportato da The Hacker News citando i risultati di Volexity.
Come operano insieme le tre falle
L'avviso della CISA identifica le due vulnerabilità appena inserite come:
- CVE-2026-111357, con punteggio di gravità CVSS di 8,8: autenticazione mancante per una funzione critica, che consente a un attaccante locale autenticato di aumentare i propri privilegi.
- CVE-2026-118527, con punteggio CVSS di 4,3: identificatori o numeri prevedibili, che consentono a un attaccante remoto autenticato di caricare su disco, in una posizione nota, file con contenuto controllato dall'attaccante.
Questi singoli requisiti di autenticazione sono importanti, ma la catena di attacco riportata combina le falle con CVE-2026-104935, un bypass dell'autenticazione con punteggio CVSS di 8,6. La CISA ha inserito questa terza falla nel proprio catalogo il 13 ottobre 2026.
Come descritto nel rapporto di The Hacker News, Volexity ha documentato per la prima volta la catena all'inizio di ottobre e ne ha attribuito l'uso a un attore di minaccia finora non documentato, che chiama UTA0576. I ricercatori hanno affermato che la combinazione di bypass dell'autenticazione, esecuzione remota di codice (ovvero l'esecuzione del codice dell'attaccante su un altro sistema) ed escalation dei privilegi ha permesso un'esecuzione non autenticata a livello root, cioè il massimo livello di controllo sul sistema.
Volexity ha osservato UTA0576 estrarre credenziali e metadati limitati di Active Directory, ovvero le informazioni del servizio di directory che le organizzazioni usano per gestire utenti e computer. L'attore ha inoltre raccolto informazioni sugli host compromessi e cercato password amministrative e chiavi di recupero BitLocker, anziché seguire lo schema più tipico del dispiegamento di web shell o malware.
Correzioni disponibili e scadenze federali
Il rapporto di The Hacker News riferisce che le patch per entrambe le falle appena inserite sono disponibili nelle seguenti release di ICS:
- 25.1.1.3, che corregge le versioni interessate 25.1.1.2 e precedenti di quella linea di rilascio.
- 22.8R2.6, che corregge le versioni interessate 22.8R2.5 e precedenti di quella linea di rilascio.
Il rapporto indica che l'ultima release corregge tutte le vulnerabilità concatenate negli attacchi osservati.
Ivanti ha dichiarato che la correzione per CVE-2026-104935 era già in fase di quality assurance per le versioni supportate quando lo sfruttamento è stato scoperto. Quando è emersa la falla locale di escalation dei privilegi, l'azienda ha scelto di rilasciare la correzione per il bypass dell'autenticazione senza attendere, per chiudere il principale percorso di sfruttamento. Stava ancora sviluppando la correzione per l'escalation dei privilegi nel periodo in cui i dettagli dell'attacco sono diventati pubblici.
Ivanti ha inoltre dichiarato di aver individuato una parte della vulnerabilità attraverso il proprio programma di sicurezza dei prodotti e di averla corretta nella release di luglio 25.1.3.0. L'azienda ha detto che stava lavorando per portare quella correzione alle altre versioni supportate quando lo sfruttamento si è verificato.
L'avviso della CISA inserisce le aggiunte nella Binding Operational Directive 26-04, che obbliga le agenzie civili del potere esecutivo federale (FCEB) a dare priorità alle vulnerabilità catalogate ad alto rischio sugli asset esposti pubblicamente, quando lo sfruttamento garantisce il controllo totale. La direttiva stabilisce inoltre le aspettative per verificare se i sistemi siano stati compromessi prima dell'applicazione della patch.
Il rapporto di The Hacker News riporta scadenze di bonifica per le agenzie civili federali del 2 novembre 2026 per CVE-2026-111357 e del 13 novembre 2026 per CVE-2026-118527. Questi obblighi si applicano alle agenzie federali coperte dalla direttiva. La CISA invita tutte le organizzazioni a dare priorità alla bonifica delle falle catalogate; gli amministratori di ICS dovrebbero applicare la release corretta per la linea di rilascio del proprio deployment.
