Ivanti Connect Secure: catena di zero-day sfruttata per ottenere root, una delle tre falle ancora senza patch

Alcuni attaccanti hanno concatenato tre falle sconosciute dei gateway VPN Ivanti Connect Secure per eseguire comandi come root senza autenticarsi, per poi raccogliere credenziali Active Directory. Ivanti ne ha corrette due il 13 ottobre (CVE-2026-104935); l’escalation dei privilegi resta aperta.

Cosa è successo

Il 13 ottobre 2026 Ivanti ha reso nota la vulnerabilità CVE-2026-104935 del suo gateway VPN Connect Secure, dichiarando di essere a conoscenza di uno sfruttamento limitato. Lo stesso giorno la CISA l’ha inserita nel catalogo delle vulnerabilità sfruttate, dando alle agenzie federali statunitensi tempo fino al 16 ottobre. La falla è stata segnalata da Volexity, che ha scoperto la catena indagando su un’intrusione presso un cliente iniziata il 3 ottobre.

Secondo Volexity, la catena unisce tre debolezze: un aggiramento dell’autenticazione in welcome.cgi, una scrittura di file che porta all’esecuzione di codice da remoto e un’escalation dei privilegi fino a root. Le prime due, raggruppate in CVE-2026-104935 (CVSS 8,6), sono corrette. L’escalation dei privilegi non ha ancora una patch; Volexity la attende nelle prossime settimane.

Cosa hanno fatto gli attaccanti

Volexity identifica l’attore come UTA0576. Nessuna webshell né backdoor: il gateway è servito a raccogliere credenziali. I suoi strumenti interrogavano l’Active Directory via LDAP, eseguivano Kerberoasting e password spraying e catturavano il traffico per estrarre accessi LDAP, HTTP Basic e NTLM in chiaro. Nel mirino anche password LAPS, chiavi di ripristino BitLocker e configurazione della VPN. Poiché le modifiche risiedevano in memoria, l’Integrity Checker Tool di Ivanti potrebbe non rilevare la compromissione.

Cosa fare ora

1. Verificate la versione. Secondo NVD sono vulnerabili i rami 22.8R2–22.8R2.4 e 25.1 precedenti a 25.1.3.0; la 22.7R2.14 e precedenti no.
2. Aggiornate subito a 22.8R2.5 o a 25.1.3.0 / 25.1.3.1, seguendo il bollettino di Ivanti.
3. Analizzate i log cercando raffiche di richieste a /dana-na/auth/url_default/welcome.cgi con un’intestazione X-DSCGI-PATH e file inattesi in /tmp/. Non affidatevi al solo Integrity Checker.
4. Se il gateway era esposto da inizio ottobre, consideratelo potenzialmente compromesso: cambiate le password degli account di servizio AD usati dalla VPN e degli account con SPN, rinnovate password LAPS e chiavi BitLocker, sorvegliate i tentativi di password spraying.
5. Installate la terza patch appena Ivanti la pubblica.

Il nostro parere

Un gateway VPN vede passare tutte le password dell’azienda: il posto ideale per svuotare una directory senza toccare una sola postazione. La patch chiude la porta, ma le credenziali rubate prima restano valide finché non vengono cambiate. Questa rotazione fa parte della risposta, non è facoltativa.

Fonti

• Ivanti — October 2026 Security Update
• Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-104935
• NIST NVD — CVE-2026-104935

Come scegliamo, verifichiamo e scriviamo le nostre analisi →