Gli aggressori hanno sfruttato comandi già presenti nell'appliance Connect Secure. Ivanti ha rilasciato aggiornamenti e chiede ai clienti di verificare possibili compromissioni.
Il 3 ottobre 2026, un'appliance Ivanti Connect Secure completamente aggiornata è stata colpita da un attacco. L'operatore, identificato come UTA0576, ha concatenato tre vulnerabilità per eseguire codice da remoto senza autenticazione e ottenere privilegi root. L'intervento dei difensori ha fermato l'attività prima che Volexity potesse stabilire gli obiettivi finali.
Gli aggressori hanno sottratto credenziali ed esportato dati. Hanno anche ricognito le reti, senza installare malware né web shell. Hanno operato usando i comandi già disponibili sull'appliance.
Il 13 ottobre Ivanti ha pubblicato il bollettino per CVE-2026-104935. La vulnerabilità sfrutta lo spoofing per aggirare l'autenticazione e permette a un attaccante remoto non autenticato di eseguire comandi arbitrari. Il punteggio CVSS è 8,6 su 10. Al momento della divulgazione, Ivanti ha confermato lo sfruttamento attivo presso un numero limitato di clienti. La nota di sicurezza di Ivanti riporta gli aggiornamenti correttivi per i diversi rami del prodotto.
Il ramo 25.1.1.1 e le versioni precedenti sono interessati. Lo stesso vale per il ramo 25.1.2.2 e le versioni precedenti. Anche il ramo 22.8R2.4 e le versioni precedenti è coinvolto; le versioni 22.7 e anteriori, invece, non risultano interessate.
Per il ramo 22.8, Ivanti ha rilasciato la versione correttiva 22.8R2.5. Le correzioni per gli altri rami includono 25.1.1.2 e 25.1.3.0. È disponibile anche la versione 25.1.3.1, a seconda del ramo installato. Per le installazioni più vecchie, il Belgian Centre for Cybersecurity indica 22.8R2.5 come opzione aggiornata. Il 13 ottobre la CISA ha esortato le organizzazioni a installare subito la versione corretta. Ha inoltre chiesto di seguire le indicazioni Ivanti per verificare eventuali compromissioni.
Ivanti raccomanda di aggiornare Connect Secure, consultare il rapporto di Volexity e usare regolarmente Ivanti Integrity Checker Tool. Gli indicatori di compromissione disponibili sono ancora limitati. Controllare i log potrebbe non bastare: le attività in memoria o la manipolazione dei registri possono sfuggire a una verifica basata solo sui log.
La correzione ha una storia più lunga del bollettino. Ivanti aveva individuato una parte della vulnerabilità attraverso il proprio programma di sicurezza del prodotto e l'aveva corretta con l'aggiornamento 25.1.3.0, rilasciato a luglio 2026. Il trasferimento della correzione ai rami precedenti non era stato completato prima dell'inizio degli attacchi.
Volexity descrive una catena d'attacco composta da tre vulnerabilità. Gli aggiornamenti di ottobre correggono le fasi di bypass dell'autenticazione e di esecuzione remota di codice associate a CVE-2026-104935. Il terzo difetto consente l'escalation dei privilegi ed è separato: Ivanti prevedeva di correggerlo nelle settimane successive. L'aggiornamento per CVE-2026-104935 non risolve questa vulnerabilità distinta.
I ricercatori attribuiscono le intrusioni a UTA0576, un gruppo finora sconosciuto, e sospettano una motivazione criminale anziché di spionaggio. Volexity ipotizza anche un possibile supporto di modelli linguistici di grandi dimensioni. A sostegno cita l'uso ripetuto del canale di exploit per lanciare comandi e script specifici con credenziali codificate.
Le attività osservate comprendono ricognizione di Active Directory e furto di credenziali. Gli aggressori hanno anche estratto dati e modificato i log nel tentativo di nascondere le tracce e aggirare Integrity Checker Tool. Volexity ha ricostruito la catena d'attacco e le operazioni successive analizzando la memoria con la piattaforma Volcano.
Volexity valuta con alta confidenza che le attività osservate preparassero un movimento laterale e una compromissione più ampia della rete colpita. L'intervento che ha interrotto l'operazione non ha però permesso di stabilirne l'obiettivo finale. Gli zero-day sono al centro anche del resoconto di Pwn2Own, dove ricercatori etici hanno individuato vulnerabilità su dispositivi smart e AI.
È il terzo anno consecutivo in cui Ivanti affronta lo sfruttamento di falle non divulgate in Connect Secure. I precedenti zero-day del prodotto furono resi noti nel gennaio 2025, dopo le vulnerabilità emerse nel gennaio 2024, che portarono ad attacchi contro migliaia di appliance. Nel gennaio 2026, invece, le falle zero-day rese note riguardavano Endpoint Manager Mobile.
