Le patch di Ivanti Connect Secure chiudono una exploit chain sfruttata per ottenere root access
Le patch di Ivanti Connect Secure ora risolvono tutte e tre le vulnerabilità di una exploit chain usata per ottenere root access senza autenticazione. Il root access conferisce a un aggressore il massimo livello di controllo su un sistema. Secondo una ricerca di Volexity, il threat actor precedentemente non documentato e monitorato come UTA0576 ha usato insieme le vulnerabilità per estrarre credenziali, esaminare gli host interessati e cercare informazioni amministrative sensibili.
Venerdì, la Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha aggiunto due delle vulnerabilità al proprio catalogo Known Exploited Vulnerabilities (KEV). Il catalogo identifica le vulnerabilità di sicurezza che, secondo CISA, sono state sfruttate in attacchi reali. Le voci sono CVE-2026-111357, con un punteggio Common Vulnerability Scoring System (CVSS) di 8,8, e CVE-2026-118527, con un punteggio di 4,3. CVSS è una scala di dieci punti usata per descrivere la gravità di una vulnerabilità.
CVE-2026-111357 è causata dall'assenza di autenticazione per una funzione critica. Può consentire a un aggressore locale autenticato, ovvero qualcuno che ha già accesso al sistema interessato, di eseguire privilege escalation e ottenere autorizzazioni superiori a quelle concesse originariamente. CVE-2026-118527 riguarda numeri o identificatori prevedibili. Un aggressore remoto autenticato può sfruttarla per collocare contenuti sotto il proprio controllo in una posizione nota sul disco del sistema.
Volexity aveva riferito all'inizio di ottobre 2026 che UTA0576 aveva combinato queste due vulnerabilità con CVE-2026-104935, un authentication bypass con un punteggio CVSS di 8,6. Un authentication bypass consente di evitare il normale controllo dell'identità. CISA ha aggiunto questa vulnerabilità al catalogo KEV il 13 ottobre 2026. Insieme, le tre vulnerabilità hanno fornito authentication bypass, remote code execution (RCE), cioè l'esecuzione di istruzioni su un altro sistema, e privilege escalation. La exploit chain completa ha consentito all'aggressore di ottenere root-level code execution senza autenticazione.
Volexity ha osservato un'attività diversa dagli attacchi in cui un'appliance sfruttata viene usata per installare malware o una web shell, un'interfaccia nascosta per controllare da remoto un sistema compromesso. UTA0576 ha invece estratto credenziali e una quantità limitata di metadati di Active Directory. Active Directory è il sistema usato da molte organizzazioni per gestire account dei dipendenti, computer e autorizzazioni di accesso. Il threat actor ha inoltre condotto host reconnaissance e cercato password degli amministratori e BitLocker recovery keys, che possono essere usate per recuperare l'accesso a unità cifrate.
Quando i dettagli dell'attività sono diventati pubblici per la prima volta, Ivanti stava ancora sviluppando correzioni per la vulnerabilità di privilege escalation locale presente nella exploit chain. L'azienda ha dichiarato che una correzione per CVE-2026-104935 era già stata sviluppata ed era sottoposta a quality assurance per le release supportate quando è stato identificato il problema di privilege escalation. Ivanti ha scelto di non ritardare l'aggiornamento disponibile perché chiudeva quella che l'azienda ha descritto come la via principale usata negli attacchi.
Le patch per CVE-2026-111357 e CVE-2026-118527 sono ora disponibili. I sistemi che eseguono la versione 25.1.1.2 o una versione precedente dello stesso branch devono passare alla 25.1.1.3. I sistemi con la versione 22.8R2.5 o una versione precedente dello stesso branch devono essere aggiornati alla 22.8R2.6. Ivanti ha inoltre dichiarato di aver identificato in modo indipendente parte della vulnerabilità attraverso il proprio programma di sicurezza dei prodotti e di averla corretta nella release di luglio, versione 25.1.3.0. L'azienda stava lavorando per portare tale correzione nelle altre versioni supportate quando si è verificato lo sfruttamento.
Ivanti afferma che la release più recente risolve ogni vulnerabilità usata nella exploit chain osservata. Le agenzie della Federal Civilian Executive Branch statunitense devono applicare la correzione per CVE-2026-111357 entro il 2 novembre 2026 e quella per CVE-2026-118527 entro il 13 novembre 2026. Le altre organizzazioni non sono soggette a queste scadenze federali, ma l'aggiunta al catalogo KEV conferma che si tratta di un'esposizione sfruttata attivamente e non di una vulnerabilità teorica.
Le aziende che usano Ivanti Connect Secure devono innanzitutto stabilire quale release sia installata, aggiornare alla versione corretta applicabile e verificare se il sistema o gli account correlati mostrino attività inattese. Poiché l'aggressore osservato ha estratto credenziali e cercato password degli amministratori, l'applicazione delle patch chiude le vulnerabilità software, ma da sola non permette di stabilire se le credenziali precedentemente esposte siano ancora sicure. Per le organizzazioni che valutano questo tipo di rischio infrastrutturale, AEU-I offre servizi IT, infrastruttura e consulenza security-first.
Il rischio principale deriva dal modo in cui tre vulnerabilità diverse si rafforzano a vicenda. L'authentication bypass iniziale elimina la necessità di un login valido, la remote code execution consente di eseguire istruzioni fornite dall'aggressore e la privilege escalation porta tali istruzioni al livello root. È quindi importante applicare una release che risolva l'intera exploit chain, anziché trattare ciascuna delle tre vulnerabilità come un problema isolato.