Due falle di Ivanti Connect Secure (ICS) figurano ora nel catalogo delle vulnerabilità sfruttate di CISA. L’agenzia le ha aggiunte il 30 ottobre, dopo aver rilevato che venivano utilizzate negli attacchi. In combinazione con una terza vulnerabilità, consentivano a un aggressore remoto non autenticato di eseguire codice con privilegi di root sui dispositivi VPN interessati.
Le vulnerabilità aggiunte sono CVE-2026-111357, una falla di escalation dei privilegi con un punteggio CVSS di 8,8, e CVE-2026-118527, relativa alla generazione di identificativi prevedibili e con un punteggio di 4,3. La catena sfrutta anche CVE-2026-104935, che comprende il bypass dell’autenticazione e l’esecuzione di codice da remoto. CISA aveva aggiunto quest’ultima falla al proprio catalogo il 13 ottobre.
Una catena che culminava nell’esecuzione come root
Volexity ha documentato l’attività di UTA0576, un attore di minacce fino ad allora non identificato, dopo aver esaminato un dispositivo ICS compromesso. L’azienda colloca i primi tentativi osservati al 3 ottobre; l’indagine sull’incidente è iniziata il 5 ottobre. Al momento dell’attacco, il dispositivo era aggiornato alla versione 22.8R2.4.
La catena iniziava con un bypass dell’autenticazione che consentiva di indirizzare richieste a script CGI protetti. In seguito, l’aggressore sfruttava una falla nel caricamento dei file di wu.cgi per eseguire codice e, infine, una vulnerabilità di escalation dei privilegi per ottenere l’accesso come root. Volexity ha spiegato che concatenare questi tre componenti rendeva possibile l’esecuzione senza autenticazione.
Il metodo rendeva anche più difficile il rilevamento. UTA0576 eseguiva comandi tramite richieste HTTPS della stessa catena e ne riceveva i risultati nelle risposte HTTP, senza utilizzare un canale di comando e controllo separato. Volexity non ha trovato backdoor né web shell sul dispositivo. Inoltre, l’aggressore ha cancellato le tracce dello sfruttamento dai log di debug di Ivanti e dai log di audit di Linux.
L’analisi forense ha individuato ricerche di credenziali memorizzate sul dispositivo, l’estrazione di metadati di Active Directory e interrogazioni per trovare password di amministratori locali e chiavi di ripristino di BitLocker. L’attore ha inoltre effettuato ricognizioni di rete, esaminato i log di autenticazione e provato password contro gli account di Active Directory.
“Poiché il problema è stato individuato internamente, non era oggetto di sfruttamento attivo e non raggiungeva la soglia prevista per un rilascio fuori ciclo, la correzione è stata programmata per essere inclusa nel normale ciclo di rilascio del prodotto,”
— portavoce di Ivanti
Ivanti pubblica le patch e CISA fissa le scadenze
Ivanti ha dichiarato di aver rilevato internamente una parte di CVE-2026-104935 e di aver programmato la relativa correzione per un normale ciclo di rilascio del prodotto. Come spiegato a CyberScoop, la falla non era sfruttata in quel momento e non raggiungeva la soglia necessaria per un aggiornamento fuori ciclo. Quando Volexity ha individuato la catena, Ivanti ha dato priorità alla correzione della principale via di sfruttamento, continuando nel frattempo a lavorare sulla falla di escalation.
Le patch per CVE-2026-111357 e CVE-2026-118527 sono disponibili in ICS 25.1.1.3 e 22.8R2.6. L’aggiornamento più recente corregge tutte e tre le falle utilizzate nella catena. L’elenco delle versioni interessate comprende la 25.1.1.2 e le precedenti, corrette nella 25.1.1.3, e la 22.8R2.5 e le precedenti, corrette nella 22.8R2.6.
Le agenzie federali civili esecutive degli Stati Uniti devono correggere CVE-2026-111357 entro il 2 novembre 2026 e CVE-2026-118527 entro il 13 novembre. Anche il Centro canadese per la cybersicurezza ha aggiornato il proprio avviso il 30 ottobre per segnalare l’inclusione di entrambe le falle nel catalogo KEV di CISA.
Volexity ha avvertito che la sua analisi ha richiesto l’esame della memoria e del disco, poiché l’aggressore aveva alterato i log e il codice malevolo poteva essere eseguito in memoria. Secondo Ivanti, le indagini sulla portata complessiva delle compromissioni erano ancora in corso.
Fonti: The Hacker News, Volexity, Canadian Centre for Cyber Security, CyberScoop
