Analisi editoriale · Fonti primarie
La catena zero-day di Ivanti Connect Secure trasforma la compromissione del gateway in una crisi d’identità
Lo sfruttamento confermato di uno zero-day Ivanti Connect Secure ha consentito furto di credenziali, esfiltrazione di dati e accesso ai segreti di ripristino; applicare la patch è urgente, ma non dimostra che il dispositivo sia integro.
Cronologia confermata
Volexity ha osservato lo sfruttamento a partire dal 3 ottobre 2026 contro un dispositivo allora completamente aggiornato e ha iniziato l’indagine il 5 ottobre. Il 13 ottobre Ivanti ha coordinato una correzione e CISA ha divulgato lo sfruttamento attivo di CVE-2026-104935, un bypass dell’autenticazione che permette l’esecuzione di comandi senza autenticazione [1][2]. Il record CVE indica come corrette le versioni 25.1.3.0, 25.1.3.1 e 22.8R2.5; 22.7R2.14 e precedenti risultano non interessate [3].
Intrusione osservata
Questa è una catena d’intrusione confermata, non soltanto un avviso di vulnerabilità. Volexity ha rilevato che il bypass e l’esecuzione remota di codice erano concatenati con una distinta vulnerabilità locale di elevazione dei privilegi. L’attore ha ottenuto credenziali di dominio, metadati Active Directory, password LAPS, chiavi di ripristino BitLocker e dati di autenticazione del dispositivo, eseguendo poi password spraying e ricognizione di rete [2]. Le informazioni pubbliche non stabiliscono quante organizzazioni siano state compromesse.
Missione ed esposizione
Un gateway di accesso esposto a Internet è un’ancora di fiducia. La compromissione può estendersi dall’accesso remoto all’identità aziendale, all’amministrazione degli endpoint e ai processi di ripristino, mettendo a rischio la continuità anche dopo l’applicazione della patch. I responsabili devono identificare le versioni esposte, riesaminare le attività almeno dal 3 ottobre e valutare l’uso a valle di account di collegamento alla directory, sessioni privilegiate, LAPS e chiavi di ripristino.
Priorità di risposta
Aggiornare immediatamente a una versione corretta, senza considerare la patch equivalente al contenimento. Conservare le prove; isolare o ricostruire i dispositivi sospetti; revocare sessioni e token; ruotare le credenziali del dispositivo, amministrative, di collegamento LDAP e le altre esposte; rivalutare i segreti LAPS e BitLocker sulla base delle prove. Utilizzare telemetria indipendente di rete, identità, endpoint e memoria, poiché Volexity ha osservato la cancellazione dei log e avvertito che il controllo d’integrità del dispositivo potrebbe non rilevare in modo affidabile la compromissione [2].
Governance e incognite
Assegnare responsabilità esecutive tra sicurezza, identità, infrastruttura, continuità e ufficio legale. Richiedere logging indipendente per i dispositivi perimetrali, procedure collaudate di raccolta delle prove e scadenze di ciclo di vita per le versioni non supportate. Attribuzione, numero totale di vittime, obiettivi finali e diffusione dell’intera catena restano non verificati. La fiducia è alta per lo sfruttamento e il comportamento osservato dopo la compromissione, ma limitata per la portata complessiva.
Fonti
- CISA, CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure, 13 October 2026 (accessed 14 October 2026)
- Volexity, A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, 13 October 2026 (accessed 14 October 2026)
- CVE Program, CVE-2026-104935 record, published and updated 13 October 2026 (accessed 14 October 2026)
- HKCERT, Ivanti Connect Secure Remote Code Execution Vulnerability, 14 October 2026 (accessed 14 October 2026)