Ivanti Connect Secure: tre zero-day concatenati per ottenere root, CVE-2026-104935

• UTA0576 ha concatenato tre zero-day in Ivanti Connect Secure per eseguire comandi come root
• Due falle (CVE-2026-104935, CVSS 8,6) sono corrette; la terza attende una patch nelle prossime settimane
• L'Integrity Checker Tool di Ivanti non rileva la catena: serve analisi forense
• Aggiornare alle versioni corrette indicate nell'avviso Ivanti

Un attaccante ha concatenato tre vulnerabilità zero-day in Ivanti Connect Secure, un’appliance VPN, per eseguire comandi come root senza autenticarsi. Lo ha comunicato Volexity il 13 ottobre. Ivanti ha rilasciato correzioni per due delle falle e ha chiesto ai clienti con versioni vulnerabili di «agire immediatamente». Secondo Volexity, la correzione per la terza non è ancora disponibile.

L’attacco

Volexity, che ha segnalato le falle a Ivanti, ha individuato l’attacco sull’appliance di un cliente. Il dispositivo era completamente aggiornato e usava la versione 22.8R2.4. L’attore, tracciato da Volexity come UTA0576, ha iniziato a sfruttarla il 3 ottobre. Ivanti ha confermato di essere a conoscenza di «limited exploitation in the wild», cioè di sfruttamento limitato in rete.

Le prime due falle, un authentication bypass e una remote code execution, sono tracciate insieme come CVE-2026-104935. Permettono di eseguire codice con l’utente cgi-server dell’appliance. La terza, una privilege escalation, porta i privilegi a root.

Versioni interessate

• Colpito: Connect Secure «before version 25.1.3.0».
• Non colpita: la versione 22.7R2.14 «or prior».
• Indicate come non interessate: 22.8R2.5, 25.1.3.0 e 25.1.3.1.

Le note di rilascio della 25.1.3.0 sono datate luglio 2026. Ivanti assegna a CVE-2026-104935 un punteggio CVSS di 8,6 su 10. Nella propria voce del record CVE, la CISA indica lo sfruttamento come «active» e l’impatto tecnico come «total».

La correzione per la privilege escalation arriverà «in a future release in the coming weeks». Il report di Volexity non precisa quale rischio comporti quella falla su un’appliance dove le prime due sono state corrette.

Perché è difficile da rilevare

Ivanti consiglia di aggiornare e di eseguire regolarmente l’Integrity Checker Tool. Secondo Volexity, però, lo strumento non rileva questa catena. L’exploit modifica il codice delle librerie solo in memoria e ripristina i dati di configurazione che altera. L’attaccante ha inoltre agito per non farsi vedere dallo strumento.

Confermare una compromissione richiede un’indagine forense, comprese analisi di rete e della memoria. Dall’unico incidente analizzato emergono questi segnali:

• un numero elevato di richieste al percorso /dana-na/auth/url_default/welcome.cgi;
• l’header HTTP X-DSCGI-PATH in quelle richieste, con un valore diverso dal percorso dell’URL;
• l’indirizzo IP usato dall’attaccante, riportato tra gli indicatori.

Cosa ha fatto l’attaccante

Nell’incidente analizzato ha sottratto le credenziali memorizzate, comprese quelle di dominio LDAP. Ha poi cercato password in Active Directory e ha condotto attacchi di password spraying contro gli account. Non ha lasciato backdoor né web shell: ha rieseguito l’intera catena di exploit per ogni comando.

Volexity valuta con bassa confidenza che il movente di UTA0576 sia criminale e non di spionaggio. Nessuna delle due società ha indicato quanti clienti siano stati colpiti.

Cosa fare

Ivanti invita ad aggiornare alle versioni corrette; l’avviso di sicurezza del vendor contiene i dettagli. Né Volexity né Ivanti indicano una mitigazione temporanea per chi non può aggiornare subito, né se l’aggiornamento elimini l’accesso già ottenuto da un attaccante. Per questo, sulle appliance esposte, è prudente valutare un’indagine forense.

Altri prodotti Ivanti

Lo stesso avviso copre correzioni per Xtraction e Neurons Patch for Intune. Ivanti non è a conoscenza di sfruttamento. Ciascun prodotto ha una falla valutata 9,9 su 10: CVE-2026-106042 in Xtraction precedente alla versione 2026.4 e CVE-2026-109412 in Neurons Patch for Intune.

Indicatori di compromissione (IoC)

108.165.147[.]64
/dana-na/auth/url_default/welcome[.]cgi
X-DSCGI-PATH

Fonte: The Hacker News · Foto: The Hacker News