Ivanti Connect Secure: falla zero-day già sfruttata

Una nuova vulnerabilità di Ivanti Connect Secure è già sfruttata attivamente e può consentire a un attaccante esterno, senza autenticazione, di eseguire comandi sul sistema. Per un’azienda questo significa una cosa molto concreta: se l’appliance VPN esposta su Internet non viene aggiornata subito, il rischio non è solo l’interruzione del servizio, ma anche il furto di credenziali, l’accesso alla rete interna e la sottrazione di dati.

Il 14 ottobre 2026 la CISA ha chiesto alle organizzazioni di intervenire immediatamente. Non è un avviso teorico: le evidenze raccolte finora mostrano tentativi di sfruttamento reali, attività post-compromissione e segnali che gli attacchi potrebbero diventare rapidamente più aggressivi.

Cosa è successo

La vulnerabilità riguarda Ivanti Connect Secure (ICS) ed è identificata come CVE-2026-104935, con punteggio CVSS 8.6. Secondo quanto riportato, si tratta di un bypass dell’autenticazione che colpisce le versioni:

• 25.1.1.1 e precedenti
• 25.1.2.2 e precedenti
• 22.8R2.4 e precedenti

L’aspetto più critico è che il difetto può permettere a un attaccante remoto non autenticato di arrivare all’esecuzione arbitraria di comandi. In pratica, l’attaccante non ha bisogno di credenziali valide per iniziare l’attacco.

La CISA ha dichiarato di essere a conoscenza di uno sfruttamento attivo della falla per furto di credenziali ed esfiltrazione di dati. L’agenzia ha inserito la vulnerabilità nel catalogo Known Exploited Vulnerabilities (KEV) e ha imposto alle agenzie federali civili statunitensi di applicare le correzioni entro il 16 ottobre 2026. Anche se questo obbligo riguarda il settore pubblico USA, il messaggio per le imprese private è chiaro: la minaccia è già concreta e non va rimandata.

Perché questa falla è particolarmente pericolosa

Le appliance VPN e di accesso remoto occupano una posizione delicatissima nell’infrastruttura IT. Sono spesso esposte direttamente su Internet e fanno da porta d’ingresso verso applicazioni, desktop remoti, file server e identità aziendali.

Quando una vulnerabilità colpisce proprio questo punto della rete, il rischio non si limita al dispositivo stesso. Se l’attacco riesce, può diventare il primo passo per:

• rubare credenziali di utenti e amministratori;
• muoversi lateralmente nella rete;
• interrogare Active Directory;
• cercare password amministrative e chiavi di recupero;
• preparare attacchi successivi, inclusi ransomware o furti mirati di dati.

In altre parole, la VPN non è un semplice “accessorio” dell’infrastruttura: è uno dei sistemi più sensibili da proteggere. Per questo aggiornamenti, monitoraggio e procedure di risposta non dovrebbero essere lasciati all’ultimo minuto. Se la gestione di questi apparati non è già strutturata, è il momento di rafforzare i processi di sicurezza informatica.

I primi segnali di sfruttamento: non è un caso isolato

Le informazioni pubblicate il 14 ottobre 2026 mostrano che l’attività degli attaccanti è già in corso.

La società Previdian ha dichiarato di aver osservato 105 tentativi di exploit sui propri sensori honeypot entro il 14 ottobre 2026. Gli attacchi provenivano da 50 indirizzi IP unici, geolocalizzati a Singapore e negli Stati Uniti.

Secondo il fondatore e CEO Ryan Dewhurst, gli attaccanti stanno usando l’header X-DSCGI-PATH per raggiungere un gestore CGI interno e caricare script Perl mascherati da file ZIP. I payload catturati finora sembrano orientati soprattutto a verificare se l’esecuzione di codice remoto sia riuscita, più che a installare immediatamente malware. Questo però non deve rassicurare troppo: spesso la fase iniziale di “test” serve a selezionare i sistemi vulnerabili prima di passare ad azioni più distruttive.

Lo stesso Dewhurst ha indicato che uno sfruttamento pienamente “operativo” della vulnerabilità è probabile nelle ore o nei giorni successivi.

Cosa hanno fatto gli attaccanti dopo l’accesso

Un altro elemento importante arriva da Volexity, che ha riferito di aver osservato lo sfruttamento della CVE-2026-104935 già dal 3 ottobre 2026. L’attività sarebbe attribuita a un attore finora non documentato, denominato UTA0576, valutato come motivato da finalità criminali più che di spionaggio.

Secondo Volexity, la vulnerabilità sarebbe stata usata insieme a un difetto di privilege escalation per ottenere esecuzione di codice a livello root senza autenticazione. Dopo il successo iniziale, l’attaccante avrebbe svolto una serie di azioni post-compromissione molto indicative della gravità del rischio:

• estrazione delle credenziali memorizzate sull’appliance VPN;
• esfiltrazione di una quantità limitata di metadati di Active Directory;
• distribuzione di uno strumento Kerberos in grado di supportare attacchi di tipo Kerberoast e test sulle credenziali;
• ricognizione degli host interni;
• cattura di pacchetti LDAP;
• rilascio di uno strumento Python per cercare password amministrative e chiavi di recupero BitLocker.

I ricercatori hanno inoltre osservato tentativi deliberati di nascondere le tracce, tramite modifiche selettive ai log, rimozione di artefatti temporanei e ripristino dello stato del sistema alterato. Questo punto è essenziale: anche dopo l’aggiornamento, non si può dare per scontato che un sistema sia “pulito” solo perché torna raggiungibile e apparentemente stabile.

Le indicazioni operative di CISA

La CISA non si è limitata a consigliare la patch. Ha anche specificato che, per capire se vi sia stata una compromissione, possono essere necessarie attività di network forensics e memory forensics.

Nel caso in cui venga rilevata una compromissione, l’agenzia raccomanda di:

1. creare un backup della configurazione dell’appliance;
2. eseguire un factory reset e aggiornare all’ultima versione disponibile;
3. per sistemi cloud o virtuali, ricostruire l’istanza virtuale e aggiornare;
4. ripristinare la configurazione dal backup creato in precedenza;
5. reimpostare le password di tutti gli account, inclusi account di dominio, amministrativi e locali;
6. revocare e riemettere i certificati memorizzati;
7. reimpostare le chiavi API archiviate e le credenziali del license server.

CISA raccomanda inoltre ai clienti di consultare la guida Ivanti di compatibilità per aggiornamento e migrazione. C’è anche un tema di ciclo di vita: la versione 22.8 raggiungerà la fine del supporto il 31 gennaio 2027. Per chi è ancora su quel ramo, il problema non è soltanto applicare una correzione urgente, ma pianificare una migrazione in tempi brevi.

Cosa significa per la tua azienda

Per una PMI o uno studio professionale, questa notizia riguarda soprattutto tre aspetti: continuità operativa, protezione delle credenziali e responsabilità sui dati.

Se usate Ivanti Connect Secure, le azioni consigliate sono molto pratiche:

• Verificate subito modello e versione dell’appliance o della macchina virtuale.
• Applicate l’aggiornamento più recente indicato dal produttore senza attendere la finestra di manutenzione “comoda”.
• Se il sistema è critico, preparate prima un backup della configurazione e un piano di rollback.
• Controllate log, autenticazioni anomale e connessioni sospette a partire almeno dai primi giorni di ottobre 2026, dato che Volexity colloca lì i primi sfruttamenti osservati.
• Reimpostate le credenziali privilegiate se c’è il minimo sospetto di esposizione.
• Valutate la sostituzione o migrazione se siete ancora su versioni vicine alla fine del supporto.

C’è poi una lezione più generale. Molte aziende trattano la VPN come un apparato “installa e dimentica”: finché gli utenti si collegano, si dà per scontato che tutto vada bene. In realtà questi sistemi richiedono la stessa attenzione di un server critico: patch management, controllo degli accessi, monitoraggio e test di ripristino.

Per ridurre il danno in caso di incidente, conviene anche verificare due aree spesso trascurate:

• la disponibilità di copie di sicurezza affidabili delle configurazioni e dei sistemi collegati, ad esempio con soluzioni di backup remoto;
• la presenza di un presidio continuativo per aggiornamenti, verifiche e supporto sugli endpoint e sull’infrastruttura, soprattutto nelle realtà senza un reparto IT interno strutturato, tramite servizi di gestione IT dei desktop e dei sistemi.

Se trattate dati personali di clienti, dipendenti o collaboratori, una compromissione di questo tipo può avere anche effetti organizzativi e normativi: occorre capire quali dati siano transitati sul sistema, se vi sia stata esfiltrazione e quali misure adottare per contenere l’incidente.

Un campanello d’allarme per tutti gli accessi remoti

Anche chi non usa Ivanti dovrebbe leggere questa vicenda come un promemoria importante. Gli apparati di accesso remoto restano fra i bersagli preferiti perché offrono un punto d’ingresso ad alto valore e spesso sono esposti direttamente su Internet.

Le domande utili da porsi oggi sono semplici:

• sappiamo esattamente quali sistemi di accesso remoto abbiamo esposti?
• riceviamo e applichiamo con rapidità gli aggiornamenti di sicurezza?
• abbiamo un inventario chiaro delle versioni in uso?
• esistono credenziali privilegiate memorizzate su questi sistemi?
• in caso di compromissione, sappiamo chiudere l’accesso, ricostruire il servizio e far ripartire gli utenti in tempi brevi?

Chi non ha risposte certe a queste domande non è necessariamente in difficoltà oggi, ma è sicuramente più esposto domani.

Domande frequenti

La vulnerabilità riguarda tutte le installazioni Ivanti?

No. Le informazioni pubblicate indicano come interessate specifiche versioni di Ivanti Connect Secure: 25.1.1.1 e precedenti, 25.1.2.2 e precedenti, 22.8R2.4 e precedenti.

Se aggiorno, il problema è risolto?

L’aggiornamento è il primo passo indispensabile, ma non basta se il sistema è già stato compromesso. In quel caso servono verifiche forensi, reset, ricostruzione dell’istanza e rotazione di password, certificati e chiavi.

Anche una piccola azienda deve preoccuparsi?

Sì. Se l’appliance è esposta su Internet, la dimensione dell’azienda conta poco: gli attaccanti cercano soprattutto sistemi vulnerabili e credenziali riutilizzabili per entrare nella rete.