Falla critica nel client VPN IXON: comandi eseguibili come root o SYSTEM

Una vulnerabilità nel client VPN di IXON può permettere l’esecuzione di comandi con i massimi privilegi sul computer interessato. La falla, identificata come CVE-2026-75925, coinvolge tutte le versioni di IXON VPN Client precedenti alla 1.4.7.

CISA ha attribuito al problema una gravità critica. Il punteggio è 9,6 su 10 secondo CVSS 3.1 e 9,4 secondo CVSS 4.0. L’attacco sfrutta una combinazione pericolosa: configurazioni accettate senza verificare il richiedente e dati scritti senza neutralizzare correttamente le sequenze di fine riga.

Il risultato può essere l’inserimento di nuove direttive in un file poi elaborato da un sottoprocesso privilegiato. I comandi iniettati vengono quindi eseguiti come root o SYSTEM, a seconda dell’ambiente operativo.

Sono vulnerabili tutte le versioni precedenti alla 1.4.7

Il prodotto interessato è IXON VPN Client, utilizzato per l’accesso remoto a sistemi e infrastrutture distribuite. IXON ha sede nei Paesi Bassi, ma la distribuzione del software è mondiale.

La correzione è disponibile nella versione 1.4.7. Di conseguenza, sono considerate vulnerabili tutte le release con numero di versione inferiore:

• Prodotto: IXON VPN Client
• Versioni vulnerabili: tutte quelle precedenti alla 1.4.7
• Versione corretta: 1.4.7 o successiva
• Identificativo: CVE-2026-75925
• Classificazione principale: CWE-93, neutralizzazione impropria delle sequenze CRLF
• Condizione concorrente: CWE-306, assenza di autenticazione per una funzione critica

La vulnerabilità è stata scoperta da Luuk van Rheden, appartenente a IXON. La segnalazione a CISA è stata effettuata da Stan van Duijnhoven, anch’egli dell’azienda.

L’avviso iniziale è stato pubblicato il 5 agosto 2026. CISA lo ha ripubblicato in una seconda revisione il 3 settembre 2026.

Come la CRLF Injection diventa esecuzione di codice privilegiato

Le sequenze CRLF, indicate normalmente come \r\n, delimitano le righe in diversi formati testuali. Se un’applicazione inserisce in un file valori controllabili senza filtrare questi caratteri, un aggressore può interrompere la riga prevista e aggiungerne altre.

Nel caso di IXON VPN Client, il bersaglio è il meccanismo locale che gestisce la configurazione. I valori ricevuti dal servizio vengono scritti in un file, successivamente letto da un sottoprocesso dotato di privilegi elevati.

L’applicazione non neutralizza adeguatamente i caratteri di fine riga. Un valore apparentemente destinato a un singolo campo può quindi trasformarsi in più righe, includendo direttive che il programma non avrebbe dovuto accettare.

La falla non dipende però soltanto dalla gestione errata delle sequenze CRLF. L’interfaccia di configurazione consente modifiche senza autenticare il richiedente e senza verificarne l’origine. Questa seconda debolezza riduce ulteriormente gli ostacoli per l’attaccante.

La catena può essere riassunta così:

1. l’aggressore prepara un valore di configurazione contenente sequenze di fine riga;
2. il servizio accetta la modifica senza un’adeguata autenticazione;
3. il valore viene scritto nel file di configurazione;
4. le nuove righe diventano direttive autonome;
5. un sottoprocesso privilegiato elabora il file;
6. i comandi inseriti vengono eseguiti come root o SYSTEM.

Non sono stati resi noti il percorso del file coinvolto, i nomi precisi delle direttive sfruttabili o una dimostrazione pubblica dell’attacco.

Un attacco a bassa complessità, ma con interazione dell’utente

Il vettore CVSS 3.1 assegnato alla vulnerabilità è:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

La valutazione indica che l’attacco è eseguibile tramite rete, ha bassa complessità e non richiede privilegi preliminari. È tuttavia necessaria un’interazione dell’utente. Il vettore CVSS 4.0, che assegna 9,4, esprime la stessa condizione come interazione passiva:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Le modalità precise dell’interazione richiesta non sono state dettagliate. Non è quindi possibile stabilire, sulla base delle informazioni pubblicate, quale azione debba compiere la vittima durante un tentativo di compromissione.

L’impatto potenziale resta elevato su tutti e tre i parametri principali: riservatezza, integrità e disponibilità. L’esecuzione privilegiata può consentire di leggere o alterare dati, installare ulteriori componenti e interferire con il funzionamento del computer.

Il cambiamento di ambito indicato dal vettore CVSS segnala inoltre possibili conseguenze su componenti collocati oltre il perimetro di sicurezza inizialmente violato.

La configurazione malevola sopravvive ai riavvii

Uno degli aspetti più insidiosi di CVE-2026-75925 riguarda la persistenza. La configurazione iniettata viene memorizzata sul disco e può rimanere attiva dopo il riavvio del client VPN o dell’intero sistema operativo.

Allo stesso tempo, la connessione VPN continua a funzionare normalmente. L’utente potrebbe quindi non osservare interruzioni, errori evidenti o cambiamenti nell’esperienza d’uso.

Questa combinazione rende la compromissione meno visibile: il componente legittimo resta operativo, mentre le direttive aggiunte continuano a essere elaborate dal processo privilegiato.

Non sono stati pubblicati indicatori di compromissione specifici, come nomi di file, hash, indirizzi IP o stringhe da cercare. Gli amministratori possono comunque verificare la presenza di modifiche inattese nelle configurazioni del client, confrontandole con copie affidabili e con i sistemi di gestione centralizzata.

È opportuno esaminare anche gli eventi relativi all’avvio di processi privilegiati, soprattutto quando i programmi eseguiti non sono coerenti con le normali funzioni della VPN. In assenza di percorsi e firme ufficiali, tali controlli devono essere adattati all’ambiente locale.

Nessuno sfruttamento pubblico noto e nessuna scadenza KEV indicata

Al momento dell’avviso, CISA non aveva ricevuto segnalazioni di sfruttamento pubblico noto diretto specificamente contro CVE-2026-75925. Questo dato distingue la vulnerabilità critica da un incidente già documentato sul campo, ma non riduce la necessità di aggiornare.

Non è stata indicata l’inclusione della falla nel catalogo Known Exploited Vulnerabilities, o KEV, di CISA. Non risultano quindi una data di inserimento o una scadenza federale di correzione associate a questa vulnerabilità.

La distinzione è operativamente rilevante: il catalogo KEV raccoglie falle per le quali esistono prove di sfruttamento reale. In questo caso, le informazioni disponibili descrivono una vulnerabilità ad alto impatto e facilmente sfruttabile, ma senza campagne pubblicamente confermate.

I settori potenzialmente coinvolti comprendono manifatturiero critico, energia, information technology, acqua e acque reflue, oltre alle strutture commerciali. In ambienti industriali, la compromissione dell’endpoint usato per l’accesso remoto può anche diventare un punto di partenza verso sistemi connessi.

Aggiornamento immediato e controlli sulle configurazioni persistenti

La misura prioritaria è aggiornare IXON VPN Client alla versione 1.4.7 o successiva. L’installazione della patch dovrebbe essere verificata tramite inventario centralizzato, senza affidarsi soltanto all’aggiornamento dichiarato dall’utente.

Dopo l’upgrade, è consigliabile controllare le configurazioni già presenti sul disco. La correzione del software non implica necessariamente la rimozione automatica di eventuali direttive malevole inserite prima dell’aggiornamento.

Le organizzazioni dovrebbero inoltre:

• individuare tutti gli endpoint sui quali è installato IXON VPN Client;
• isolare o aggiornare immediatamente le versioni precedenti alla 1.4.7;
• verificare configurazioni, persistenza e processi avviati con privilegi elevati;
• evitare l’esposizione diretta a Internet dei sistemi di controllo;
• separare le reti industriali da quelle aziendali mediante firewall e segmentazione;
• riesaminare i metodi di accesso remoto e i privilegi concessi agli endpoint VPN;
• applicare misure di difesa multilivello agli asset ICS;
• avviare le procedure interne di risposta se emergono modifiche non autorizzate.

CISA richiama anche il documento ICS-TIP-12-146-01B — Targeted Cyber Intrusion Detection and Mitigation Strategies per il rilevamento e la mitigazione delle intrusioni mirate. Poiché l’attacco richiede un’interazione dell’utente, restano pertinenti anche le difese contro phishing e social engineering: collegamenti e allegati non richiesti devono essere trattati come potenziali vettori iniziali.