Ivanti, tre falle zero-day aprono le porte agli hacker: rubate le credenziali aziendali

Ivanti ha corretto la vulnerabilità CVE-2026-104935 in Connect Secure, sfruttata in attacchi reali insieme ad altri due zero-day. Il gruppo UTA0576 ha ottenuto privilegi root, sottratto credenziali e cercato segreti nella rete aziendale, cancellando le tracce. Le aziende devono aggiornare i dispositivi e verificare eventuali compromissioni.

Il VPN-gateway, progettato per proteggere l’accesso alla rete aziendale, è diventato esso stesso un punto di violazione. Ivanti ha avvertito dell’exploit attivo della vulnerabilità monitorata con il codice CVE-2026-104935 in Connect Secure. La falla ha ottenuto un punteggio di 8,6 secondo CVSS 3.1 e consente l’esecuzione remota di comandi senza account utente o interazioni.

Il problema si è rivelato parte di un’attacco più complesso. Volexity ha rilevato una catena di tre zero-day su Connect Secure 22.8R2.4, completamente aggiornato al momento. Un aggressore sconosciuto, UTA0576, ha iniziato a sfruttare la catena il 3 ottobre, mentre l’indagine sull’incidente è iniziata due giorni dopo.

Le prime due vulnerabilità Ivanti le ha raggrupate all’interno della CVE-2026-104935. Inizialmente, una richiesta appositamente formattata al pubblico welcome.cgi viene reindirizzata a un CGI-handler privato, bypassando l’autenticazione. Successivamente, l’attaccante carica codice Perl sotto forma di file ZIP e riesce a eseguirlo nel breve intervallo tra la scrittura del file temporaneo e la verifica dell’archivio.

Il terzo zero-day eleva i privilegi da utente cgi-server a root. Lo sfruttamento modifica la libreria Ivanti solo in memoria, sostituisce i parametri del task nel DSCache e costringe il servizio privilegiato dsinvoked a eseguire il codice Perl dannoso. Dopo l’esecuzione, il comando ripristina i dati modificati, quindi le tracce sul disco sono quasi inesistenti. Ivanti sta ancora preparando la correzione per questo errore.

Ottenuto l’accesso root, UTA0576 ha cercato segreti all’interno della rete aziendale. Volexity ha registrato il furto di credenziali LDAP, l’esportazione di metadati Active Directory, la ricerca di password LAPS e chiavi di ripristino BitLocker, l’intercettazione del traffico LDAP e password spraying. L’attività indicava una preparazione per un ulteriore movimento nella rete, ma l’obiettivo finale dell’attacco non è stato stabilito.

L’aggressore non ha installato un backdoor permanente o un web shell. Per ogni nuovo comando, la catena veniva riavviata, e il risultato veniva restituito attraverso lo stesso richiesta HTTPS. Il codice dannoso eliminava anche le voci dai log e ripristinava le strutture di memoria modificate. A causa di questa tecnica, l’Integrity Checker Tool, che Ivanti consiglia di eseguire regolarmente, potrebbe non rilevare la compromissione.

Ivanti ha rilasciato le correzioni 25.1.1.2, 25.1.3.0, 25.1.3.1 e 22.8R2.5 per le rispettive versioni di Connect Secure. L’azienda ha dichiarato solo un numero limitato di attacchi, ma CISA ha già inserito CVE-2026-104935 nel catalogo delle vulnerabilità sfruttate. Shadowserver conta oltre 5500 istanze di Connect Secure accessibili da Internet, anche se il numero di dispositivi effettivamente vulnerabili è sconosciuto.

Volexity consiglia di non limitarsi all’installazione dell’aggiornamento e di verificare l’attività di rete, le directory temporanee e la memoria dei dispositivi. In caso di sospetto di violazione, è necessaria un’indagine forense completa. Per Ivanti, questo scenario non è nuovo: in estate, gli aggressori hanno iniziato ad attaccare Sentry subito dopo la pubblicazione della correzione per un’altra vulnerabilità critica.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response