In sintesi
I gateway VPN Ivanti Connect Secure sono sotto attacco attivo tramite una catena di tre zero-day che concede i privilegi di root a un attaccante non autenticato, anche su appliance completamente aggiornate. Ivanti ha rilasciato il 13 ottobre 2026 le correzioni per due delle falle come CVE-2026-104935, e l'agenzia statunitense CISA ha dato alle amministrazioni federali tempo fino al 16 ottobre per applicarle. Una falla di escalation dei privilegi resta senza patch: i team che gestiscono l'accesso remoto come parte della loro infrastruttura cloud e DevOps devono quindi aggiornare e cercare tracce di intrusione allo stesso tempo.
Cosa è successo a Ivanti Connect Secure?
Volexity afferma di aver iniziato il 5 ottobre ad analizzare un'appliance Connect Secure sospetta e di aver trovato un attaccante che eseguiva comandi come root su un dispositivo con tutti gli aggiornamenti disponibili installati. Il gruppo, che Volexity traccia come UTA0576, sfruttava l'appliance almeno dal 3 ottobre; altre fonti collocano il primo sfruttamento confermato al 1° ottobre. Secondo Ivanti, prima della divulgazione è stato compromesso un numero limitato di clienti.
Ivanti ha rilasciato le correzioni il 13 ottobre. Secondo CyberScoop, l'azienda aveva individuato internamente almeno parte del problema già a giugno, ma aveva ritenuto che non giustificasse un rilascio straordinario e aveva pianificato la correzione nel normale ciclo di prodotto – una decisione che gli attaccanti hanno anticipato. La CISA ha inserito CVE-2026-104935 nel catalogo Known Exploited Vulnerabilities lo stesso giorno, lasciando tre giorni alle agenzie federali civili statunitensi per intervenire.
Come funziona la catena di exploit?
La catena ha tre anelli. Il primo è un bypass dell'autenticazione nel gestore welcome.cgi dell'appliance, che consente di instradare una richiesta non autenticata verso altri script CGI. Il secondo è una falla di scrittura di file in wu.cgi, che trasforma quell'accesso in esecuzione di codice da remoto. Ivanti copre entrambe con CVE-2026-104935 e sottolinea di aver «risolto completamente la componente di esecuzione di codice da remoto non autenticata».
Il terzo anello è un'escalation dei privilegi che porta l'attaccante dal processo web a root. Ivanti l'ha confermata, ma non ha ancora rilasciato una correzione né assegnato una CVE pubblica. In pratica la patch spezza la catena nel punto di ingresso, ed è per questo che applicarla è urgente. Ma qualsiasi altro appiglio sull'appliance – una sessione amministrativa rubata, una futura falla web – porterebbe ancora fino a root finché non arriverà il prossimo rilascio.
Perché questa intrusione è così difficile da individuare?
UTA0576 non ha installato né una web shell né una backdoor persistente. Volexity ha rilevato che l'attaccante rieseguiva l'intera catena di exploit per ogni comando, modificava il codice delle librerie Ivanti solo in memoria, ripristinava poi l'archivio di configurazione e cancellava le proprie tracce dai log del dispositivo. Poiché sul disco non cambia nulla, l'Integrity Checker Tool di Ivanti – il controllo su cui molti team erano stati invitati a fare affidamento dopo i precedenti incidenti Connect Secure – segnala il dispositivo come pulito.
Ancora più preoccupante è ciò che l'attaccante ha fatto con quell'accesso. Volexity descrive l'estrazione di credenziali, dump dell'Active Directory, Kerberoasting, query LDAP per le password di amministratore locale LAPS e le chiavi di ripristino BitLocker, password spraying e cattura del traffico LDAP. La VPN è stata quindi un trampolino verso il livello delle identità, e aggiornare l'appliance non annulla nulla di quanto sottratto prima della correzione.
Cosa significa per i team negli Stati Uniti e nell'UE
I dispositivi perimetrali restano l'anello debole di molte reti aziendali. I gateway VPN sono esposti su Internet, custodiscono credenziali privilegiate e raramente sono coperti dall'EDR che protegge laptop e server. È l'ultimo di una lunga serie di zero-day Connect Secure, e dimostra che «completamente aggiornato» non significa sicuro quando il ciclo di correzioni di un fornitore è in ritardo di mesi rispetto agli attaccanti.
Nel lungo periodo è il momento giusto per chiedersi se una singola appliance VPN debba restare la porta d'ingresso. Spostare l'accesso remoto verso proxy basati sull'identità, credenziali a breve durata e percorsi amministrativi segmentati limita fin dove può arrivare un dispositivo compromesso – e trasforma il prossimo zero-day perimetrale in un incidente invece che in una violazione.
Cosa significa per le aziende italiane?
In Italia i gateway Ivanti sono diffusi tra medie imprese, pubbliche amministrazioni locali e strutture sanitarie, e con il recepimento della NIS2 tramite il D.Lgs. 138/2024 molte più organizzazioni rientrano negli obblighi di notifica verso l'Agenzia per la Cybersicurezza Nazionale (ACN) e il CSIRT Italia: per un incidente significativo è prevista una pre-notifica entro 24 ore. Se sono coinvolti dati personali, si aggiunge la notifica al Garante Privacy entro 72 ore prevista dall'articolo 33 del GDPR.
In entrambi i casi «abbiamo applicato la patch il primo giorno» non basta: bisogna poter dimostrare se lo sfruttamento è avvenuto prima. Conservate subito i log di firewall e proxy a monte, prima che i tempi di conservazione li sovrascrivano, e documentate analisi e decisione presa. Per le PMI senza un SOC interno conviene coinvolgere fin da ora il fornitore che gestisce la VPN, invece di attendere la prossima richiesta di chiarimenti.
Cosa fare questa settimana?
- Aggiornare. Portate ogni appliance Ivanti Connect Secure a 22.8R2.5, 25.1.1.2, 25.1.3.0 o 25.1.3.1.
- Cercare, non solo scansionare. Cercate nei log web e proxy le richieste verso
/dana-na/auth/url_default/welcome.cgicon un headerX-DSCGI-PATHe controllate/tmp/sull'appliance alla ricerca di artefatti residui, come raccomanda Volexity. - Andare oltre l'Integrity Checker. Per i dispositivi esposti da inizio ottobre, pianificate un'analisi forense di memoria e rete o una revisione con il supporto del fornitore.
- Ruotare i segreti. In caso di sospetta esposizione, reimpostate le credenziali memorizzate o transitate attraverso la VPN, gli account di servizio esposti al Kerberoasting, le password LAPS e le chiavi di ripristino BitLocker.
- Chiarire gli obblighi di notifica. Con DPO e compliance verificate se decorrono termini NIS2 o GDPR e conservate le evidenze alla base della decisione.
- Seguire la terza correzione. Monitorate l'advisory di Ivanti sull'aggiornamento contro l'escalation dei privilegi e tenete le interfacce di gestione lontane da Internet fino ad allora.
Domande frequenti
Che cos'è CVE-2026-104935?
CVE-2026-104935 è una vulnerabilità di gravità elevata (CVSS 8,6) di Ivanti Connect Secure, divulgata il 13 ottobre 2026. Comprende un bypass dell'autenticazione nel gestore welcome.cgi dell'appliance e una falla di scrittura di file in wu.cgi che, concatenati, consentono a un attaccante remoto di eseguire comandi senza effettuare l'accesso. La CISA l'ha inserita lo stesso giorno nel catalogo Known Exploited Vulnerabilities.
Quali versioni di Ivanti Connect Secure correggono la zero-day?
Ivanti indica 22.8R2.5, 25.1.1.2, 25.1.3.0 e 25.1.3.1 come build corrette. Le appliance con 22.8R2.4 o precedenti, 25.1.1.1 o precedenti, oppure 25.1.2.x vanno aggiornate. Le agenzie federali civili statunitensi avevano tempo fino al 16 ottobre 2026 per intervenire.
La catena di exploit Ivanti è completamente corretta?
No. Volexity ha individuato tre falle concatenate. Due sono corrette con CVE-2026-104935, che elimina l'esecuzione di codice da remoto non autenticata. La terza, un'escalation locale dei privilegi fino a root, è confermata da Ivanti ma la correzione è prevista nelle prossime settimane: i dispositivi aggiornati vanno quindi ancora monitorati.
Un'azienda italiana deve notificare l'incidente?
Dipende dai fatti. Se l'organizzazione rientra nella NIS2 recepita con il D.Lgs. 138/2024 e l'incidente è significativo, è prevista una pre-notifica al CSIRT Italia entro 24 ore. Se sono stati violati dati personali, l'articolo 33 del GDPR richiede la notifica al Garante Privacy entro 72 ore. La decisione deve basarsi su log conservati, non solo sulla data della patch.
Fonti
Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days (October 13, 2026)
CyberScoop — Ivanti misses opportunity to fix vulnerability before attackers made it a zero-day (October 2026)
SecurityWeek — Ivanti Zero-Day Chain Gave Attackers Root Access to Fully Patched VPN (October 2026)
The Hacker News — Attacker Chains Three Ivanti Connect Secure Zero-Days for Root Access (October 2026)