Ivanti Connect Secure, zero-day CVE-2026-104935 sfruttato in attacchi: aggiornare
Ivanti invita ad aggiornare subito Connect Secure: lo zero-day CVE-2026-104935, un bypass dell'autenticazione, è sfruttato in attacchi limitati. Volexity lo lega al gruppo UTA0576.
- Zero-day CVE-2026-104935 in Ivanti Connect Secure: bypass dell'autenticazione, sfruttato in attacchi limitati
- Colpite le versioni 22.8R2.4, 25.1.2.2, 25.1.1.1 e precedenti; oltre 5.500 istanze esposte
- Volexity: UTA0576 elude l'Integrity Checker Tool e ottiene esecuzione di codice come root
- Aggiornare subito; una falla di privilege escalation della catena non è ancora corretta
Martedì Ivanti ha chiesto ai clienti di applicare subito la patch per una zero-day già sfruttata attivamente in Ivanti Connect Secure (ICS), il gateway di accesso remoto dell’azienda. La vulnerabilità è tracciata come CVE-2026-104935 ed è un bypass dell’autenticazione di gravità alta.
Versioni colpite e dinamica dell’attacco
Il problema riguarda le versioni 22.8R2.4 e precedenti, 25.1.2.2 e precedenti, 25.1.1.1 e precedenti. Un attaccante remoto senza privilegi può sfruttarla con attacchi di bassa complessità e senza interazione dell’utente. Il risultato è l’esecuzione di comandi arbitrari sugli appliance colpiti.
ICS, noto in passato come Pulse Connect Secure e prima ancora Juniper Pulse, è una VPN SSL aziendale. Offre a dipendenti remoti, collaboratori e personale ibrido l’accesso a risorse aziendali e cloud.
Ivanti dichiara di essere a conoscenza di uno sfruttamento «limitato» in the wild e di lavorare con le organizzazioni coinvolte. Per chi usa una versione vulnerabile, la raccomandazione è di agire immediatamente.
Il ruolo di UTA0576
La falla è stata individuata e segnalata da Volexity. Secondo la società, un attore finora sconosciuto, che traccia come UTA0576, ha concatenato CVE-2026-104935 con altre due vulnerabilità almeno dal 3 ottobre. L’obiettivo era ottenere esecuzione di codice come root, senza autenticazione, anche su dispositivi completamente aggiornati.
Secondo Volexity, il gruppo non ha installato malware né web shell. Ha invece sfruttato di nuovo il dispositivo per ogni comando eseguito e ha manomesso i log per nascondere le tracce. In questo modo ha eluso l’Integrity Checker Tool di Ivanti.
Ivanti ha corretto due delle falle della catena. Sta ancora lavorando alla correzione di una vulnerabilità di privilege escalation usata nella stessa sequenza. Anche Defused conferma il quadro: ha rilevato i primi segnali di sfruttamento il 1° ottobre.
Esposizione e precedenti
Shadowserver monitora oltre 5.500 istanze ICS esposte online. Non è noto quante siano honeypot né quante siano già protette.
Ivanti è un bersaglio frequente, spesso con zero-day. Negli anni ha corretto diverse falle di Connect Secure sfruttate in attacchi:
CVE-2023-46805(bypass dell’autenticazione) eCVE-2024-21887(command injection), a gennaio 2024;CVE-2024-21893(server-side request forgery), due settimane dopo;CVE-2025-0282(RCE), a gennaio 2025;CVE-2025-22457(RCE), sfruttata da gruppi di spionaggio legati alla Cina almeno da metà marzo 2025.
La CISA ha inserito 36 vulnerabilità di prodotti Ivanti tra quelle sfruttate attivamente dal novembre 2021. Dodici sono state usate anche da gruppi ransomware.
Cosa fare
- Leggere l’avviso di sicurezza di Ivanti e aggiornare alla versione corretta il prima possibile.
- Eseguire regolarmente l’Integrity Checker Tool, tenendo presente che Volexity ne ha documentato l’elusione.
- Seguire gli aggiornamenti del vendor sulla terza vulnerabilità, per cui la correzione non è ancora disponibile.
Fonte: BleepingComputer · Foto: BleepingComputer
