Ivanti Connect Secure, zero-day sfruttato contro VPN già aggiornate

Il 13 ottobre 2026 Ivanti ha avvisato i clienti che una vulnerabilità di Connect Secure, la sua VPN aziendale, è sfruttata negli attacchi. Si chiama CVE-2026-104935 ed è il primo anello di una catena di tre falle che, come racconta SecurityWeek, ha permesso a un gruppo sconosciuto di ottenere il controllo completo di apparati che avevano già tutti gli aggiornamenti. BleepingComputer ha pubblicato i dettagli lo stesso giorno, e il CSIRT Italia ha segnalato lo sfruttamento attivo il 14 ottobre.

Cosa è successo?

A scoprire gli attacchi è stata Volexity, società di risposta agli incidenti, mentre indagava su un'intrusione presso un suo cliente. Il gruppo responsabile, che Volexity chiama UTA0576 perché non corrisponde a nessun attore noto, era attivo almeno dal 3 ottobre; un'altra società, Defused, ha visto i primi segnali già il 1° ottobre.

La catena funziona così: CVE-2026-104935 riunisce un aggiramento dell'autenticazione e un'esecuzione di comandi da remoto, che insieme permettono a chiunque, senza credenziali, di far eseguire comandi alla VPN. Una terza falla, di escalation dei privilegi, porta quei comandi al livello di amministratore del sistema (root). Ivanti ha corretto le prime due; per la terza, al momento dell'avviso, la correzione era prevista nelle settimane successive.

Cosa hanno fatto gli attaccanti una volta dentro?

È la parte più istruttiva per un'azienda. Secondo Volexity, citata da SecurityWeek, il gruppo non ha installato malware né web shell: rientrava ogni volta sfruttando di nuovo la falla e manometteva i registri. In questo modo è sfuggito anche all'Integrity Checker Tool, lo strumento di Ivanti per verificare l'integrità dell'apparato.

Una volta dentro ha puntato alle chiavi della rete:

• ha rubato le credenziali di dominio salvate sulla VPN;
• ha cercato in Active Directory le password degli amministratori locali (LAPS) e le chiavi di ripristino di BitLocker;
• ha provato password comuni su molti account (password spraying) e ha esplorato la rete.

Volexity ritiene con alta fiducia che il gruppo si stesse preparando a muoversi verso il resto della rete, e con fiducia media che usi modelli linguistici di intelligenza artificiale per sviluppare gli exploit. L'operazione è stata interrotta prima che gli obiettivi fossero chiari.

Quali versioni sono colpite?

Secondo BleepingComputer: Connect Secure 22.8R2.4 e precedenti, 25.1.2.2 e precedenti, 25.1.1.1 e precedenti. Le versioni corrette indicate da SecurityWeek sono 22.8R2.5, 25.1.1.2, 25.1.3.0 e 25.1.3.1. La Shadowserver Foundation conta oltre 5.500 istanze esposte su internet.

Cosa cambia per una PMI?

Ivanti Connect Secure è un prodotto da aziende strutturate, ma la lezione vale per qualsiasi VPN. La VPN tiene in pancia le credenziali per entrare nella rete: se cade lei, l'attaccante non deve più indovinare password. E un apparato "tutto aggiornato" non è automaticamente sicuro, quando la falla è sconosciuta.

Per questo conta quello che c'è dietro la VPN: account con privilegi minimi, autenticazione a più fattori anche all'interno, password degli amministratori diverse per ogni macchina, registri conservati altrove.

Cosa fare adesso?

1. Se usi Ivanti Connect Secure, aggiorna a una delle versioni corrette e controlla l'avviso di Ivanti per la correzione della terza falla.
2. Non affidarti solo all'Integrity Checker Tool: BleepingComputer consiglia di usarlo con regolarità, ma questo gruppo è riuscito a eluderlo.
3. Cambia le credenziali di dominio e di servizio salvate sulla VPN, se l'apparato era esposto nel periodo degli attacchi.
4. Controlla i registri di Active Directory in cerca di tentativi di accesso ripetuti e consultazioni anomale.
5. Rivedi l'autenticazione a due fattori su tutti gli accessi remoti.

Nello stesso mese sono stati attaccati anche i firewall Cisco ASA e gli apparati SonicWall SMA1000.

Ne parliamo?

Molte aziende usano la VPN solo per far arrivare i dipendenti al gestionale o a un'applicazione interna. A volte la scelta più sicura è ripensare quell'accesso: un portale clienti o uno strumento interno progettato per il web, con autenticazione robusta, espone molto meno di una VPN che apre tutta la rete. Se vuoi valutarlo, partiamo da una consulenza tecnica: scrivimi dalla pagina contatti.

Fonti

• Ivanti warns of Connect Secure zero-day exploited in attacks (BleepingComputer)
• Ivanti Zero-Day Chain Gave Attackers Root Access to Fully Patched VPN (SecurityWeek)
• Ivanti October Security Update (ACN, CSIRT Italia)

Crediti delle immagini

• Copertina: foto di panumas nikhomkhai su Pexels