Ivanti Connect Secure, zero-day CVE-2026-104935 sfruttato: aggiornare le versioni
Ivanti ha reso noto uno zero-day in Connect Secure, CVE-2026-104935 (CVSS 8.6), già sfruttato contro un numero limitato di clienti. Permette l'esecuzione di comandi senza autenticazione.
- Zero-day CVE-2026-104935 (CVSS 8.6) in Ivanti Connect Secure, sfruttato su un numero limitato di clienti
- Esecuzione di comandi da remoto senza autenticazione
- Colpite 25.1.1.1, 25.1.2.2 e 22.8R2.4 e precedenti
- Aggiornare a 25.1.1.2, 25.1.3.0, 25.1.3.1 o 22.8R2.5
Il 13 ottobre 2026 Ivanti ha pubblicato un avviso su una vulnerabilità zero-day in Ivanti Connect Secure (ICS), già sfruttata in attacchi reali. Il difetto, tracciato come CVE-2026-104935, consente a un attaccante remoto di eseguire comandi arbitrari senza effettuare il login. Il punteggio CVSS è 8.6, quindi di gravità alta.
Cosa sappiamo della vulnerabilità
Si tratta di un bypass dell’autenticazione tramite spoofing, classificato come CWE-290. L’attacco avviene via rete, non richiede credenziali né interazione dell’utente. La complessità è bassa. L’impatto è alto sulla riservatezza dei dati e più contenuto su integrità e disponibilità del servizio.
Ivanti conferma che lo sfruttamento ha riguardato un numero limitato di clienti. Secondo l’azienda, il suo team di sicurezza di prodotto aveva individuato in precedenza una parte del problema e l’aveva corretta nella versione 25.1.3.0, uscita a luglio 2026. Gli attacchi sono comparsi mentre si lavorava per portare la correzione alle altre versioni supportate. Ivanti ringrazia Volexity per il contributo alla protezione dei clienti coinvolti.
Versioni colpite e corrette
- Colpite:
25.1.1.1e precedenti,25.1.2.2e precedenti,22.8R2.4e precedenti. - Risolte:
25.1.1.2,25.1.3.0,25.1.3.1e22.8R2.5. - Il ramo
22.7e quelli inferiori non contengono la vulnerabilità.
Cosa fare
Chi usa la 25.1.1.1 su appliance ISA6000 o ISA8000 deve installare la 25.1.1.2. Chi è sulla serie 22.8 deve passare alla 25.1.1.2 o successiva. Se la migrazione non è immediata, può installare la 22.8R2.5. Le versioni 22.7 e 22.8 arrivano a fine vita il 31 gennaio 2027.
Il passaggio alla 25.1.3.0 richiede le piattaforme ISA4500, ISA6500 o ISA8500. Per le installazioni fisiche servono nuovi server. Per quelle virtuali e cloud occorre creare nuovi dispositivi con il template appropriato. Prima di cambiare piattaforma, gli amministratori dovrebbero consultare la guida di upgrade e migrazione di Ivanti.
Indicatori e attribuzione
Ivanti dichiara di non disporre al momento di indicatori di compromissione affidabili. Chi sospetta un’intrusione deve seguire le istruzioni di ripristino del vendor. L’avviso non identifica gli autori né fornisce dettagli di exploit, quindi la portata della campagna oltre i clienti confermati non è chiara.
La fonte ricorda precedenti sfruttamenti di VPN Ivanti e la violazione della rete di MITRE legata a zero-day Ivanti. Erano però vulnerabilità diverse e non dimostrano le modalità usate in questa campagna.
Fonte: Cyber Security News · Foto: Cyber Security News
